ConnectWise schakelt vijf ScreenConnect-extensies uit

ConnectWise meldt ongeautoriseerde toegang tot ScreenConnect-partneraccounts en software voor beheer op afstand op klantapparaten; vijf extensies bleken aanwezig in circa 400 partneromgevingen en zijn uit voorzorg uitgeschakeld.

Een managed service provider (MSP) gebruikt ScreenConnect om klantapparaten op afstand te beheren. Als een account of actieve sessie wordt misbruikt, kan dezelfde beheeromgeving toegang geven tot meerdere klantomgevingen. Voor organisaties die IT uitbesteden verschuift de directe controle naar twee plekken: wie kan zich aanmelden bij de MSP, en welke extra software staat al op klantapparaten? De circa 400 partneromgevingen zijn daarom een controlelijst voor extensies, sessies en apparaten, geen telling van bevestigde inbraken.

De extensies zijn een onderzoeksspoor

ConnectWise publiceerde de waarschuwing op 11 november om 22:45 UTC. Het noemt vijf extensies van derden die mogelijk met de activiteit samenhangen: Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link en RMM+ Password Link. Het bedrijf vond een of meer van die extensies in ongeveer 400 partneromgevingen en schakelde ze uit als voorzorgsmaatregel. De lijst wijst aan waar onderzoek moet beginnen, maar zegt niet welke omgevingen zijn binnengedrongen.

ConnectWise zegt expliciet dat de aanwezigheid van de extensies op zichzelf geen impact bewijst. De oorzaak en volledige omvang zijn nog in onderzoek. De eerste beoordeling vermoedt dat aanvallers via toegevoegde extensies extra software voor beheer op afstand installeerden. Ook meldt ConnectWise mogelijke compromittering van technicuswerkstations tijdens interactieve verbindingen met getroffen apparaten. Beide bevindingen moeten nog worden gevalideerd.

Partners met een lokale ScreenConnect-installatie moeten zelf controleren of de extensies uitstaan. ConnectWise kan dat niet namens hen doen. De leverancier adviseert ze niet opnieuw in te schakelen of te installeren totdat er verdere aanwijzingen zijn. Een extensie is daarmee een spoor voor controle, geen bewijs dat die route bij elke omgeving is gebruikt.

Een tweede client kan de sessie overnemen

Huntress meldt dat de aanval rond 17:48 UTC op 11 november begon. Via de functie Run Command installeerde een aanvaller daarna een tweede, door de aanvaller beheerde ScreenConnect-client op apparaten die de beheeromgeving kon bereiken. Dezelfde opdracht haalde een bundel PowerShell-scripts binnen en maakte de geplande Windows-taak TrapWatch aan, die elke tien seconden als Windows-account SYSTEM draait. Ook plaatste de aanvaller een aangepaste client in de legitieme ScreenConnect-omgeving. Die client doet zich voor als de echte beheertool en wacht tot een technicus verbinding maakt met een besmet apparaat.

Bij zo’n verbinding kan de aangepaste client de sessie van de technicus vastleggen en de toolkit naar diens werkstation brengen. De aanvaller kan die route daarna gebruiken tegen andere apparaten binnen dezelfde ScreenConnect-omgeving. Huntress zegt dat het dezelfde toolkit en infrastructuur aantrof bij meerdere partners. Het bedrijf isoleerde de apparaten waarop het activiteit zag en stuurde incidentrapporten per getroffen host. Isolatie stopt volgens Huntress de toegang op afstand, maar verwijdert de toolkit niet.

Huntress meldde aan BleepingComputer dat het zes gecompromitteerde MSP’s en 286 getroffen apparaten (endpoints) bij 47 organisaties volgde, terwijl het aantal slachtoffers nog opliep. Die telling komt uit Huntress’ eigen onderzoek en is geen totaal voor alle ScreenConnect-klanten. De circa 400 partneromgevingen van ConnectWise zijn een andere groep: daarin vond de leverancier de verdachte extensies. De cijfers kunnen dus niet bij elkaar worden opgeteld. Geen van de geraadpleegde meldingen geeft een bevestigd aantal organisaties waaruit data is gestolen.

Dezelfde software dook eerder op in losse aanvallen

Huntress beschreef in september drie afzonderlijke incidenten bij niet-gerelateerde organisaties, waarbij aanvallers via misleiding ongewenste ScreenConnect-clients installeerden. Een aangepaste client verspreidde in die gevallen scripts naar nieuwe apparaten zodra die met een besmette omgeving verbonden werden. Huntress beschreef de eerdere gevallen als wormachtige verspreiding via nieuw geopende ScreenConnect-verbindingen.

De huidige waarschuwing beschrijft een andere gemelde route: ongeautoriseerde toegang tot partneraccounts en gebruik van de Run Command-functie. ConnectWise zegt nog niet hoe de aanvallers aanvankelijk toegang kregen, en geen van de bronnen legt een verband tussen de septemberincidenten en deze campagne. De overeenkomst zit in het gebruik van software voor ondersteuning op afstand om toegang door te geven aan extra apparaten; de toegangsmethode en de betrokken aanvallen blijven afzonderlijke zaken.

De controle loopt door tot op klantapparaten

In oktober zette ConnectWise Cloud Backup, SaaS Security en Cloud Management offline na verdachte toegang tot applicatie-identiteiten. Die dienstuitval onderbrak back-ups, herstel en tenantbeheer. De latere Storm-0940- en ARTEX-melding over aanmeldpogingen bij Microsoft 365-omgevingen volgde op die ConnectWise-inbraak. Dat was een cloud- en app-identiteitsincident. De nieuwe waarschuwing betreft ScreenConnect-partneraccounts, extensies en software op klantapparaten; ConnectWise heeft geen verband tussen de twee gebeurtenissen gemeld.

ConnectWise en Huntress adviseren partners de genoemde extensies uit te schakelen, actieve sessies in te trekken en wachtwoorden vanaf een vertrouwd apparaat te wijzigen. Controleer ook of multifactorauthenticatie actief is, verwijder onbekende gebruikers en bewaar authenticatie-, extensie-, Run Command- en Toolbox-logboeken. Gebruik aparte beveiligingstools voor onderzoek en start geen interactieve ScreenConnect-sessie met een apparaat dat mogelijk besmet is. Een technicus die zo’n apparaat al heeft geopend, moet ook diens eigen werkstation laten controleren.

ConnectWise waarschuwt dat het uitschakelen van extensies en het wijzigen van wachtwoorden bestaande toegang op apparaten niet vanzelf verwijdert. De oorzaak en volledige omvang zijn nog niet vastgesteld. De extensielijst laat zien waar MSP’s hun onderzoek kunnen beginnen; sessiegegevens en controles van aangesloten apparaten bepalen of toegang daarna is blijven bestaan. De volgende Trust Center-update moet meer duidelijk maken zodra ConnectWise bevindingen heeft gevalideerd.