Společnost ConnectWise vyšetřuje kampaň, při které útočníci zneužívají kompromitovaná prostředí nástroje ScreenConnect. Cílem jsou poskytovatelé spravovaných IT služeb (MSP) a podle dostupných informací se útok týká desítek organizací.
Co se stalo
ScreenConnect je program pro vzdálenou správu počítačů. IT firmy ho běžně používají, aby mohly na dálku pomáhat svým zákazníkům. Právě proto je lákavým cílem: kdo ovládne správcovský systém, získá cestu do mnoha firemních sítí najednou.
Útočníci se podle zprávy dostali do napadených prostředí ScreenConnect a přes ně nainstalovali na zařízení zákazníků MSP vlastní, nepovolené klienty vzdáleného přístupu. Tím si zajistili trvalý přístup, který může sloužit k dalším krokům, například ke krádeži dat nebo nasazení škodlivého softwaru.
Proč je to nebezpečné
- Zneužití legitimního nástroje se špatně odhaluje, protože provoz vypadá jako běžná vzdálená správa.
- Jedno napadení poskytovatele se může přenést na všechny jeho klienty.
- Útočníci často využívají důvěru mezi dodavatelem IT a zákazníkem.
Souvislosti
Nástroje pro vzdálený přístup se v poslední době opakovaně objevují v útocích. Už letos v září popsali bezpečnostní analytici kampaň s falešnými klienty ScreenConnect, které se šířily mezi počítači. ConnectWise tehdy také řešil chybu v přenosu souborů. Zda spolu tyto případy přímo souvisejí, výrobce nepotvrdil, proto je třeba brát souvislosti opatrně.
Co mohou udělat firmy
- Zeptejte se svého IT dodavatele, zda používá ScreenConnect a zda jeho prostředí zkontroloval.
- Projděte seznam nainstalovaných programů pro vzdálený přístup a odstraňte ty, které nikdo nepovolil.
- Zapněte vícefázové ověření u všech účtů pro vzdálenou správu a omezte, kdo se může k zařízením připojovat.
- Sledujte doporučení výrobce a instalujte aktualizace hned po vydání.
- Uplatňujte princip nejmenších oprávnění, aby jeden napadený účet neotevřel přístup všude.
Pro malé a střední firmy je hlavní ponaučení jednoduché: bezpečnost závisí také na dodavatelích. Pravidelně si ověřujte, jak zabezpečují přístupy do vašich systémů, a mějte připravený postup pro případ, že dodavatel ohlásí incident. Rychlá reakce a přehled o tom, kdo má k vašim zařízením přístup, výrazně omezí škody.
