ConnectWise предприняла превентивные меры, отключив пять сторонних расширений в средах партнеров после сообщений о несанкционированном доступе. В консультативном уведомлении, опубликованном на своем сайте, компания заявила, что нет никаких доказательств того, что инцидент связан с компрометацией ее инфраструктуры или уязвимостью в программном обеспечении ScreenConnect. «Наша первоначальная оценка предполагает, что эта активность может быть связана со злоупотреблением независимыми сторонними расширениями, установленными в средах партнеров», — говорится в сообщении. «Мы продолжаем проверять эту оценку. Первоначальный метод доступа и полный масштаб расследования остаются под вопросом». ConnectWise выявила около 400 партнерских сред, в которых установлено по крайней мере одно из сторонних расширений. Компания также подчеркнула, что наличие расширений само по себе не указывает на компрометацию и не устанавливает ее. Хотя эти расширения предоставляют API, способный выполнять удаленные команды, доступ к этому API защищен парольной фразой, настроенной партнером во время установки, добавили в компании. Список расширений, идентифицированных для превентивного отключения, приведен ниже. ConnectWise также заявила, что настоятельно рекомендовала партнерам, использующим локальные решения, отключить расширения, и рекомендует всем партнерам обеспечить работу средств безопасности, сохранять журналы подозрительной активности и сохранять бдительность. Компания предоставила следующие индикаторы компрометации (IoC). Компания по кибербезопасности Huntress, которая также отслеживает эту активность, сообщила, что наблюдала, как злоумышленники использовали доступ к облачным панелям ScreenConnect для отправки команд Run с целью установки вредоносных клиентов ScreenConnect как минимум на 288 управляемых конечных точках в 48 организациях. Активность была впервые обнаружена 11 ноября 2026 года примерно в 17:47 UTC. Huntress сообщила The Hacker News, что не видела доказательств новой уязвимости, но отметила, что точный метод, с помощью которого злоумышленник получил доступ к панели, остается неясным. Текущие телеметрические данные указывают на скомпрометированные учетные данные или перехваченные сеансы оператора для получения первоначального доступа, говорится в сообщении. Общая атака разворачивается подобно червю, используя двухэтапный процесс. «Вредоносные клиенты доставляют SCKit, пользовательский вредоносный набор инструментов, который обеспечивает постоянный удаленный доступ и создает ретрансляционную ловушку для перехвата файлов cookie сеанса», — заявили исследователи Huntress Бен Нахорней и Сусанна Матт. «Путь заражения работает в два этапа: от зараженного конечного узла к технику, который подключается к нему, и от рабочей станции техника к каждому конечному узлу, к которому может подключиться его панель. Однако во время наблюдаемых инцидентов наблюдалась не вся функциональность; некоторая функциональность была обнаружена путем анализа полезных нагрузок». SCKit доставляется в виде зашифрованной полезной нагрузки и через дроппер, закодированный в Base64 («sckit-run.bat»), который затем связывается с удаленным сервером для получения полезной нагрузки PowerShell («sckit-decoder.ps1»), отвечающей за запуск набора инструментов. Другие компоненты вредоносного ПО предназначены для добавления исключений Microsoft Defender, установки второго клиента ScreenConnect, управляемого злоумышленником, создания запланированной задачи под названием «TrapWatch» и замены законной установки ScreenConnect копией, управляемой злоумышленником. Есть признаки того, что по крайней мере один из скриптов генерируется большой языковой моделью (LLM) на основе подробных ссылок на исходный код и комментариев, объясняющих его функциональность. «Выходя за рамки того, что мы наблюдали, мы реконструировали дополнительную функциональность, предназначенную для распространения с рабочей станции техника на панель ScreenConnect», — заявила Huntress. «Это было обнаружено в результате анализа скриптов, конфигурации и инструментов. На сегодняшний день мы не наблюдали успешного перехода от зараженного конечного узла к рабочей станции техника или от этой рабочей станции к другим конечным узлам». Это включает злоупотребление соединением для получения дроппера («Run-Lateral-Full.bat»), который затем подключается к внешнему серверу («ns.mo7sen[.]dev») для загрузки загрузчика, который собирает уникальный идентификатор рабочей станции, отправляет его обратно злоумышленнику и возвращает адаптированный зашифрованный набор для этой конкретной рабочей станции. «Запрос панели заставляет каждую доступную сессию запускать элемент инструментария», — заявила Huntress. «Эта полезная нагрузка предназначена для запуска от имени SYSTEM на этих конечных точках, установки ловушки и расширения цикла. Примерно через 60 секунд после трансляции ToolboxRelayUploader.exe удаляет элемент Shared Toolbox». В дополнение к опасениям, было замечено, что злоумышленник присваивает каждому скомпрометированному поставщику управляемых услуг (MSP) порядковый номер. Huntress заявила, что теги, которые она наблюдала, начинаются с середины последовательности, что указывает на то, что другие MSP могли быть скомпрометированы ранее. Пользователям ScreenConnect рекомендуется проверять историю команд «Выполнить», даже если они не получали оповещений. В отдельном оповещении Sophos сообщила, что также наблюдала несанкционированные развертывания клиентов ScreenConnect по тому же принципу. Активность исходила от трех идентификаторов экземпляров ScreenConnect. Предполагается, что это скомпрометированные экземпляры, которые используются для выполнения команд и развертывания дополнительных вредоносных экземпляров, идентификаторы которых приведены ниже. «Curl.exe загрузил ScreenConnect.ClientSetup.msi с 185.99.255[.]28 в C:\Windows\TEMP\sc.msi», — пояснили в Sophos. «Файл команды, сгенерированный ScreenConnect, затем запустил msiexec.exe для бесшумной установки клиента. Исследователи также наблюдали, как скрипты ScreenConnect подготавливали пакетные файлы и использовали PowerShell с обходом политики выполнения для получения скрипта второй стадии с ns[.]mo7sen[.]dev/EadF.php?p=4».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
