Bilgisayarınıza her gün uzaktan bağlanan bir araç düşünün. Peki bu araç bir gün yabancı birine kapı açarsa ne olur?

Birçok kurum BT işlerini bir hizmet sağlayıcıya bırakıyor. Teknisyen bir sorun olduğunda bilgisayarınıza uzaktan bağlanıyor ve işi çözüyor. Bu araçlardan biri de ConnectWise ScreenConnect. Dün akşam tam bu kanal kötüye kullanıldı.

Ne oldu?

Huntress'e göre 11 Kasım akşamı bir saldırgan, bulutta barındırılan ScreenConnect panellerinden cihazlara toplu komut gönderdi. Komutlar SYSTEM yetkisiyle çalıştı. Cihazlara saldırganın kontrolündeki ikinci bir ScreenConnect istemcisi ve SCKit adlı bir araç seti kuruldu. Huntress, 90 dakika içinde 48 kurumda en az 288 cihazın etkilendiğini gördü. Sophos da aynı saldırı altyapısını ayrıca gözlemledi.

Kapı nasıl açıldı?
ConnectWise, kendi altyapısında ya da ScreenConnect'in kendisinde açık bulmadığını söylüyor. Şirket, RMM+ ailesinden bağımsız üçüncü taraf eklentileri yaklaşık 400 ortamda önlem olarak kapattı. Huntress'in son güncellemesine göre sorun RMM+ eklentisiyle ilgili görünüyor. Bu eklentinin 1.0.31 ve 1.0.32 sürümlerinde erişim anahtarı hiç ayarlanmamışsa boş anahtar kabul ediliyordu. Üstelik bu eklenti, ScreenConnect'in kullanıcı hesaplarını, rollerini ve MFA'yı atlayarak çalışıyor. İlk erişim yöntemi ve tam kapsam hâlâ araştırılıyor.

Kimleri ilgilendiriyor?
ScreenConnect'i kendisi kullanan BT ekiplerini. Bir de BT desteğini bir hizmet sağlayıcıdan alan her kurumu. Kendi ekibiniz bu aracı kullanmasa bile, sağlayıcınız kullanıyor olabilir.

İş açısından ne anlama geliyor?
Güvendiğiniz bir destek aracı, saldırganın birçok cihazınıza tek seferde ulaşmasını sağlayabilir. ConnectWise'ın uyarısı da net: Eklentiyi kapatmak ve parolaları değiştirmek, cihazlara önceden kurulmuş yazılımı ya da kalıcı erişimi tek başına temizlemeyebilir. Uyarı almamış olsanız bile kontrol etmekte fayda var.

Bugün ne yapmalı?
• ScreenConnect'teki Run Command ve Toolbox geçmişinde sizin başlatmadığınız komutlara bakın.
• Cihazlarda ikinci, tanımadığınız bir ScreenConnect istemcisi ve C:\ProgramData\RelayTrap klasörü arayın.
• Şüpheli bir cihaza ScreenConnect ile bağlanmayın; ayrı bir araçla inceleyin.
• Oturumları kapatın, parolaları yenileyin, MFA'yı zorunlu kılın.
• Hizmet sağlayıcınız varsa bugün sorun: RMM+ eklentisi kullanılıyor muydu, kayıtlar incelendi mi?

Uzaktan erişim araçlarınızı en az e-posta kadar yakından izliyor musunuz?

#SiberGüvenlik #ScreenConnect #MSP #OlayMüdahalesi #CrowdStrike