ScreenConnect üzerinden MSP'lere saldırı: sahte remote access client'larıyla en az 48 kurum etkilendi
ConnectWise, ele geçirilen ScreenConnect partner hesapları üzerinden MSP müşterilerine yetkisiz remote access yazılımı kurulduğunu doğruladı. Huntress en az 288 endpoint ve 48 kurumda etkinlik gördü; yeni bir zafiyet bulunmadı, saldırganlar meşru özellikleri kötüye kullanıyor.
ConnectWise, managed service provider (MSP) şirketlerini hedef alan aktif bir kampanyayı araştırıyor. Saldırganlar ele geçirdikleri ScreenConnect ortamlarını kullanarak MSP'lerin yönettiği müşteri cihazlarına kendi kontrollerindeki "rogue" ScreenConnect client'larını kuruyor; böylece MSP'nin kendi ortamı dışında da kalıcı remote access elde ediyorlar. ConnectWise, ScreenConnect partner hesaplarına yetkisiz erişim olduğunu ve müşteri ortamlarına izinsiz remote access yazılımı yüklendiğini doğruladı.
Kampanyayı ilk fark eden Huntress, etkinliğin 11 Kasım'da yaklaşık 17:47 UTC'de (TR 20:47) cloud üzerinde barındırılan ScreenConnect örneklerinde başladığını bildirdi. Huntress'in son verilerine göre en az 288 endpoint ve 48 kurum etkilendi; ilk aşamada 6 MSP'nin ele geçirildiği belirtilmişti. Saldırganın verdiği MSP etiketleri sıranın ortasından başladığı için daha önce başka MSP'lerin de hedef alınmış olabileceği düşünülüyor.
Zafiyet değil, kötüye kullanım
ConnectWise ve Huntress'e göre ortada yeni bir ScreenConnect zafiyeti yok. Saldırganlar ürünün Run Command özelliğini kullanarak yönetilen cihazlara sahte client kuruyor; bazı durumlarda kurban bilgisayarda derlenen özel araçlar ve dynamic DNS altyapısı kullanılıyor. İlk erişimin nasıl sağlandığı henüz belirlenmedi; Huntress verileri çalınmış kimlik bilgilerine ya da ele geçirilmiş operatör oturumlarına işaret ediyor. Sophos da üç ScreenConnect instance ID'sinden yetkisiz client dağıtımı gördüğünü bildirdi.
ConnectWise önlem olarak Extensions marketplace'ten kurulan beş üçüncü taraf eklentiyi yaklaşık 400 partner ortamında devre dışı bıraktı: Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link ve RMM+ Password Link. Şirket, eklentinin kurulu olmasının tek başına ihlal anlamına gelmediğini, ancak devre dışı bırakmanın mevcut zararlıyı veya saldırgan erişimini kaldırmadığını vurguluyor. On-premises kullanıcıların bu eklentileri kendilerinin kapatması gerekiyor.
Neden önemli?
MSP'ler tek bir RMM paneliyle yüzlerce müşteriyi yönetiyor; bu yüzden tek bir operatör hesabının ele geçirilmesi onlarca kuruma aynı anda erişim demek. Huntress, 2026'da meşru RMM yazılımlarının ilk payload olarak kullanıldığı saldırılarda belirgin artış gördüğünü söylüyor.
Ne yapılmalı?
- ScreenConnect kullanan MSP'ler, alarm almamış olsalar bile Run Command geçmişini, kimlik doğrulama kayıtlarını, eklenti kurulum kayıtlarını, yönetici işlemlerini ve Toolbox kayıtlarını incelemeli.
- Listelenen beş eklenti kuruluysa devre dışı bırakılmalı ve ConnectWise yeni yönlendirme yapana kadar tekrar açılmamalı.
- Şüpheli cihazlarla interaktif ScreenConnect oturumu açılmamalı; bu cihazlar ayrı EDR ve adli inceleme araçlarıyla incelenmeli.
- Huntress'in yayımladığı IOC'ler aranmalı: rogue client ID'leri
2588ef5c15954b10veed630cc2c873b091, C2 alan adlarınewnewnew.gotdns[.]orgvesoxnewwork.homedns[.]org,Panel-Lateral.ps1veRun-Lateral-Full.batdosyaları. - Tüm teknisyen hesaplarında MFA zorunlu tutulmalı, oturum token'ları yenilenmeli ve kullanılmayan partner hesapları kapatılmalı.
- MSP müşterileri, sağlayıcılarından bu kampanyadan etkilenip etkilenmediklerine dair yazılı bilgi istemeli ve cihazlarında beklenmeyen ScreenConnect client kurulumlarını kontrol etmeli.
