ConnectWise ScreenConnect リモート管理プラットフォームの脆弱なインスタンスに対するサイバー攻撃が、サービスの重大な脆弱性の公開を受けて現在観察されており、その中には、漏洩した LockBit ランサムウェアの亜種を使用した個人によるものも含まれます。
CVE-2024-1709 (ボンネットの下を覗いたある研究者によって悪用されるのは「簡単」であると述べられています) は、認証バイパスの脆弱性であり、今週初めに公開されました。 2 つ目の、それほど深刻ではありませんが依然として危険な問題である CVE-2024-1708 も蔓延しています。
パッチが入手可能であり、パッチを適用する方法と適用する必要があるユーザーの詳細については、ConnectWise から入手できます。
悪用の容易さを考えると、観察者らは攻撃が短期間で展開されることをすでに予測していましたが、ソフォスの X-Ops ディレクターのクリストファー・バッド氏が観察したように、現在はその通りになっているようです。
「過去 48 時間以内に、ScreenConnect に関連する複数の攻撃が発生しました。 最も注目すべきは、2022 年に漏洩した LockBit 3 ランサムウェア ビルダー ツールを使用して構築されたマルウェアです。これは実際の LockBit 開発者が作成したものではない可能性があります。 しかし、RAT (リモート アクセス トロイの木馬)、情報スティーラー、パスワード スティーラー、その他のランサムウェアも確認されています。 これらすべては、多くのさまざまな攻撃者が ScreenConnect をターゲットにしていることを示しています」とバッド氏は述べています。
「ScreenConnect を使用している人は、脆弱なサーバーとクライアントを直ちに隔離し、パッチを適用し、侵害の兆候がないか確認するための措置を講じる必要があります。 ソフォスでは、Sophos X-Ops からの広範なガイダンスと脅威ハンティング資料を提供しています。 私たちは調査を継続しており、必要に応じて更新します」と同氏は電子メールでのコメントでComputer Weeklyに語った。
パッチ管理のスペシャリストである Action1 の社長兼共同創設者である Mike Walters 氏は、ConnectWise の顧客に、立ち上がって注目するよう促した一人です。 「潜在的に何千ものインスタンスが侵害される可能性があります。 ScreenConnect は MSP や MSSP の間で非常に人気のある RMM であり、同様の被害をもたらす可能性があるため、これらの脆弱性を悪用した大規模な攻撃は、2021 年の Kaseya の脆弱性悪用と類似している可能性があります。」
「セキュリティ勧告では、ScreenConnect バージョン 22.4 ～ 23.9.7 のアップデートがリリースされる予定であると述べており、優先的に ScreenConnect バージョン 23.9.8 にアップグレードすることを推奨していると強調しています。
「『screenconnect.com』または『hostedrmm.com』ドメインでScreenConnectサーバーをホストしているクラウド顧客は、クラウドサービスのこれらの脆弱性に対処するためのアップデートが実装されているため、影響を受けません」とウォルターズ氏は付け加えた。
この記事の執筆時点で、Shodan のデータによると、ScreenConnect の脆弱なインスタンスが約 9,000 件インターネットに公開されており、そのうち 500 件弱が英国に存在しています。
ソフォスは、悪用が簡単であるため、ユーザーはその危険性を評価し、単にパッチを適用する以上の措置を講じることが不可欠であると述べた。
最大限の保護を実現するために、セキュリティ チームは、外部のマネージド サービス プロバイダー (MSP) によって実行されるものも含め、すべての ScreenConnect インストールを確実に特定し、パッチが適用されていることを確認できるまで特定されたデバイスからクライアント ソフトウェアを隔離またはアンインストールしてから、それらのデバイスをチェックする必要があります。潜在的な悪意のあるアクティビティに備えて。 これには、新しいローカル ユーザーの作成、不審なクライアント ソフトウェア アクティビティ、システムとドメインの偵察、および誰かがセキュリティ制御を無効にしようとしたことを示す可能性のあるアクションが含まれる可能性があります。
Computer Weekly は ConnectWise にコメントを求めたが、記事掲載時点では ConnectWise からの返答はなかった。