Хакери атакуват активно критична уязвимост

ConnectWise предупредиха за засечени от тях атаки към наскоро запушена уязвимост в ScreenConnect. Специалисти предупреждават, че уязвимостта може скоро да започне да се атакува и от рансъмуер групи. Откритите уязвимости са две – CVE-2024-1709 и CVE-2024-1708, като първата е тази, която притеснява експертите.

CVE-2024-1709 се явява критична уязвимост в популярния софтуер за отдалечена администрация. Успешната експлоатация на уязвимостта позволява неоторизирано преодоляване на удостоверяването и изпълнението на произволен код по дистанционен път. Експлоатирането на CVE-2024-1709 не изисква действие от страна на жертвата, а сложността на изпълнение на атаката е определена за „ниска“. Това се явява и причината уязвимостта да получи оценка на риска 10.0/10.

На 13-ти този месец ScreenConnect получават доклад, който им съобщава за налична уязвимост в последната версия на ConnectWise. Седмица по-късно, на 19-ти, компанията издава актуализация за CVE-2024-1709 (с версия 23.9.10.8817). От ScreenWise споделят, че нямат информация да е била атакувана уязвимостта до тази дата.

Още на следващия ден обаче компанията издава специален бюлетин, в който пишат за регистрирани от тях опити за атака. Насърчават се всички, които администрират локални инстанции на ScreenConnect да обновят възможно по-скоро. Опитите за атака се потвърждават по-късно и от Кайл Ханслован, изпълнителен директор на Huntress. Той се позовава на собствени източници, според които хакери, и по-точно брокери на първоначален достъп са започнали да атакуват CVE-2024-1709. Брокерите на първоначален достъп (initial access brokers, IABs) се явяват хакери, които са профилирани в осигуряването си на нелигитимен достъп в системи и последвалата продажба на този достъп на други киберпрестъпници. Много често това са рансъмуер групи и именно за това предупреждава Ханслован.

„Популярността на този софтуер и достъпа, осигуряван от тази уязвимост сигнализира, че сме на ръба на рансъмуер буря. Болници, критична инфраструктура и държавните институции са доказан риск“, споделя за Infosecurity-Magazine Ханслован. „Чрез софтуер за отдалечен достъп лошите могат да доставят рансъмуер с лекотата, с която добрите доставят актуализации. И когато хакерите започнат да доставят криптиращите си програми, мога да направя облог с 90% сигурност, че софтуера, който трябва да ги спре, няма да реагира, понеже ще идват от доверен източник“.

Ханслован едва ли го казва защото търси сензация. Вчера от Shadowserver Foundation споделиха, че към 20.02.2024 година 93% от локалните инстанции на Screenconnect, които са сканирали са уязвими.