SCKit trasforma le sessioni di assistenza in una via di propagazione
Huntress ha contato 288 endpoint compromessi in 48 organizzazioni nella campagna contro ConnectWise ScreenConnect; Blackpoint ha poi trovato in SCKit un exploit per una falla del client già corretta.
La patch blocca quell’exploit, ma SCKit può anche dirottare sessioni autenticate e usare le normali funzioni di gestione di ScreenConnect per diffondersi. Quando un tecnico si collega a un endpoint infetto, la sessione di assistenza può diventare un ponte verso la sua workstation e altri ambienti clienti accessibili.
ConnectWise ha disabilitato cinque estensioni della famiglia RMM+ in circa 400 ambienti, ma il loro ruolo nell’accesso iniziale è ancora sotto indagine. Correggere il client non elimina gli accessi o la persistenza già stabiliti: l’incidente può estendersi ai sistemi dei tecnici e agli altri clienti raggiungibili dalle loro sessioni.
New worm-like 'SCKit' malware targets MSPs in ScreenConnect attacks
A new worm-like malware toolkit named SCKit was deployed in the recent ScreenConnect attacks targeting managed service providers (MSPs), designed to spread from infected customer devices to MSP technicians' computers and compromise additional managed networks.