Продължават атаките към уязвимостта в ScreenConnect

След брокери на данни за достъп и LockBit, и други рансъмуер групи започнаха да атакуват CVE-2024-1709 критичната уязвимост в ScreenConnect.

По-рано този месец ви разказахме за откриването и запушването на критична уязвимост в популярен софтуер за отдалечена администрация. Ставаше дума за ScreenConnect на компанията ScreenWise. Броени часове след издаването на актуализацията, ScreenWise алармираха за регистрирани от тях опити за атака към проблема. Специалист по сигурност даже предупреди, че вероятно се задава буря на хоризонта. И може да не е далеч от истината.

Самият проблем – CVE-2024-1709 – се явява критична уязвимост, позволяваща поемането на пълен контрол над уязвимата инстанция. Експлоатирането ѝ се определя от специалистите за сравнително просто, а от атакуваната страна не се изисква действие – отваряне на прикачен файл, последване на хиперлинк и подобни. Това е и причината нейната критичност да бъде определена като 10.0/10. В същото време ScreenWise взеха нетрадиционното решение да позволят и ScreenConnect инсталации без лиценз да получат така нужната актуализация.

Скоро след това в атаките се включиха LockBit – печално известната рансъмуер група, която уж беше разбита наскоро. Положението се влоши с появата на разработени от ентусиасти PoC кодове, валидиращи проблема. И да, този код скоро беше превърнат в готови експлойти. А сега тук се появяват и други рансъмуер банди. Става дума за Black Basta и Bl00dy, които следват колегите си от LockBit, за което предава Trend Micro.

Двете киберпрестъпни групи атакуват активно ScreenConnect с различни подходи. Те експлоатират уязвимостта, след което се придвижват в мрежата на жертвата, осигурявайки си повишени привилегии и дълготраен достъп. Освен това, има в случаи, в които към тези мрежи се доставя и интернет червей от семейството на XWorm, притежаващ рансъмуер способности.

Bleeping Computer използват Shodan, за да проверят колко ScreenConnect сървъра могат да се открият онлайн. Според проучването им става дума за над 10 000 инсталации по целия свят, като малко над 1500 са с последната версия на ScreenConnect. По-голямата част от тези сървъри са в САЩ, но също в Южна Африка, Великобритания, Австралия, Франция, Унгария и др.