Een ScreenConnect malwarecampagne heeft in korte tijd honderden endpoints geraakt bij klanten van meerdere MSP’s. Onderzoekers van Huntress melden dat aanvallers via cloud-hosted ScreenConnect-panelen ongeautoriseerde toegang misbruikten om opdrachten uit te voeren op beheerde systemen.
De impact was snel: de getroffen hosts werden volgens de analyses binnen 90 minuten allemaal benaderd. Tegelijkertijd zagen zowel Huntress als ConnectWise dat de aanvallen zich niet alleen beperkten tot één simpele actie, maar leidden tot persistente toegang en verdere verspreiding.
Wat gebeurde er in de ScreenConnect malwarecampagne?
Huntress zag de activiteit op 11 november. De aanvallers maakten gebruik van hun (niet-geautoriseerde) toegang tot ScreenConnect-panelen die in de cloud draaien. Vanaf daar werden commando’s ingezet richting endpoints die onder beheer stonden.
In de publicatie staat dat de campagne minstens 6 MSP’s trof en 288 hosts bij 48 organisaties betrof. De door Huntress beschreven snelheid is opvallend: alle 288 gecompromitteerde systemen werden in minder dan twee uur geraakt.
SCKit: toolkit voor persistente backdoor en sessie-informatie
Volgens Huntress werd er niet alleen tijdelijk commando uitgevoerd. De aanvallers implementeerden een toolkit die ze SCKit noemen. Die tool richt zich op blijvende toegang, het onderscheppen van sessiecookies en het zelf repliceren naar andere locaties.
De eerste stap verliep via de ScreenConnect-omgeving. SCKit leek te wachten op een moment waarop een technicus verbinding maakt met een gecompromitteerd endpoint. Vanaf dat connectiemoment werd de workstation geïnfecteerd en probeerde de tool vervolgens ook andere sessies te benaderen waar de technicus toegang tot had.
Daarna kon SCKit zich verder verspreiden binnen dezelfde beheeromgeving, richting extra panels en systemen.
Huntress benadrukt daarnaast dat niet alle functies tijdens de waargenomen incidenten volledig zijn teruggezien. Sommige onderdelen werden volgens hen ontdekt door analyse van de payloads.
De toegangspoort: RMM+ authenticatiefout
Naast de ScreenConnect-panelen noemt Huntress ook een kwetsbaarheid in een RMM+ extensie. RMM+ is een derde partij onderdeel dat ScreenConnect-sessies beheert en daarbij werkt met een gedeelde access key. Met die key kan de authenticatie bij ScreenConnect worden omzeild.
Concreet wijst Huntress op versies 1.0.31 en 1.0.32. In die versies zou de access key standaard kunnen uitvallen naar een lege waarde wanneer een beheerder die niet heeft geconfigureerd.
Het gevolg daarvan is simpel en riskant: als de access key niet bewust was ingesteld, kon authenticatie mogelijk worden omzeild met een lege waarde. Huntress beschrijft dat de meeste RMM+-installaties die ze tegenkwamen vermoedelijk legitiem waren en waren toegevoegd voor een project, waarna ze bleven staan.
Hoe verliep de compromisatie volgens de logs?
Huntress meldt dat opdrachten binnen minuten bij endpoints terechtkwamen. Tegelijkertijd was er volgens de analyse geen bijbehorende login-activiteit zichtbaar. De logs die wel werden gevonden, waren gekoppeld aan de RMM+-component.
Die combinatie (snel commando-werk zonder logins) maakt duidelijk waarom dit type misbruik lastig te detecteren kan zijn als je vooral op login-patronen stuurt.
Reactie van ConnectWise: extensies uitgezet
ConnectWise gaf aan actie te hebben ondernomen. In reactie op de campagne zijn er vijf extensies uit de RMM+-familie uitgeschakeld in ongeveer 400 ScreenConnect-omgevingen.
Het gaat om extensies en varianten, waaronder:
- Labtech Plus
- RMM Plus
- RMM+
- RMM Plus Password Link
- RMM+ Password Link
ConnectWise benadrukt daarbij dat alleen het aanwezig zijn van extensies niet automatisch bewijst dat er sprake is van een compromis. Deze extensies bieden volgens het bedrijf een API waarmee remote commando’s kunnen worden uitgevoerd, maar toegang tot die API wordt beschermd door een passphrase die partners tijdens de setup configureren.
Wat moet je nu controleren en doen?
Als je ScreenConnect in een on-premises of hybride omgeving gebruikt, is het verstandig om je omgeving snel te beoordelen. De aanbeveling die zowel Huntress als ConnectWise impliciet ondersteunt, is het uitschakelen van de betrokken extensies in je ScreenConnect deployments waar dat van toepassing is.
1) Check of RMM+-extensies actief zijn
Inventariseer welke extensies uit de RMM+-familie in jouw omgeving bestaan, inclusief varianten. Let daarbij niet alleen op wat actief wordt gebruikt, maar ook op wat ooit is geïnstalleerd en daarna is blijven staan.
2) Verifieer configuraties van access keys en passphrases
Omdat de problematiek samenhangt met een key die mogelijk leeg kan zijn wanneer niet geconfigureerd, is het belangrijk om instellingen te verifiëren. Zorg dat toegang tot de relevante API’s alleen via correct geconfigureerde waarden werkt.
3) Vergelijk je incidentdata met indicators
Huntress en ConnectWise publiceerden indicatoren van compromis (IoCs) gerelateerd aan de campagne. Gebruik die IoCs om te bepalen of er onderdelen van SCKit of bijbehorende activiteit in jouw omgeving terug te zien zijn.
Waarom dit een bredere les is voor MSP’s
Deze casus laat zien hoe beheerplatformen en extensies een aantrekkelijk doelwit vormen. Aanvallers hoeven niet per se een endpoint via een klassieke exploit te raken; soms is het voldoende om beheerkanalen te misbruiken om van daaruit de rest te sturen.
Dat maakt het extra belangrijk om beheerextensies te behandelen als kritieke software: met duidelijke ownership, periodieke review en snelle reactie bij nieuwe bevindingen of kwetsbaarheden.
Meer context: vergelijkbare supply chain en beheer-incidenten
Als je wilt zien hoe snel organisaties geraakt kunnen worden via externe softwareketens en beheercomponenten, dan zijn onderstaande artikelen relevant:
- N-central zero-days: updates en acties voor klanten
- Xen Orchestra auth bypass: admin toegang mogelijk
Conclusie
De meldingen rond de ScreenConnect malwarecampagne wijzen op een combinatie van ongeautoriseerde toegang en een authenticatiefout in RMM+. Met SCKit konden aanvallers persistente backdoortoegang opbouwen, sessie-informatie onderscheppen en zich verder verspreiden, terwijl de compromisatie in hoog tempo werd uitgevoerd.
Voor beheerders en MSP’s is de kernactie: controleer op aanwezigheid van de betrokken RMM+-extensies, verifieer sleutel- en passphraseconfiguraties en gebruik de beschikbare IoCs om te bepalen of jouw omgeving geraakt is.
Bron: https://www.securityweek.com/hackers-deploy-malware-in-fresh-screenconnect-campaign/
