ScreenConnect: RMM+-Erweiterung akzeptierte leeren API-Schlüssel – Hunderte Rechner angegriffen

Fünf Erweiterungen vorsorglich abgeschaltet

ConnectWise nennt die Erweiterungen Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link und RMM+ Password Link. Nach Angaben des Herstellers waren eine oder mehrere dieser Erweiterungen in etwa 400 Partnerumgebungen installiert. Diese Zahl beschreibt eine vorsorgliche Bestandsprüfung und nicht 400 bestätigte Einbrüche. Die Erweiterungen stellen API-Funktionen zur Ausführung von Fernbefehlen bereit.

In gehosteten Umgebungen hat ConnectWise die identifizierten Erweiterungen soweit möglich deaktiviert. Bei eigenen Installationen ist die Deaktivierung durch Administratoren erforderlich. Die Erweiterungen sollen bis auf Weiteres weder erneut aktiviert noch installiert werden. Das Abschalten allein entfernt bereits platzierte Fremdclients oder andere Persistenzmechanismen nicht. Weitere Schritte beschreibt die offizielle Handlungsanleitung von ConnectWise.

Huntress findet leeren API-Schlüssel in RMM+

Die am 12. November deutscher Zeit ergänzte Analyse von Huntress beschreibt ein spezifisches Problem in den Erweiterungsversionen 1.0.31 und 1.0.32. Die RMM+-Schnittstelle verwendet einen gesonderten gemeinsamen Zugriffsschlüssel und greift bei API-Aufrufen nicht auf die normale ScreenConnect-Benutzerauthentifizierung einschließlich Rollen und Multifaktor-Authentifizierung zurück. War der Zugriffsschlüssel nie konfiguriert, blieb dessen Standardwert leer; die betroffenen Versionen akzeptierten dann auch Aufrufe mit leerem Schlüssel.

Huntress wertete Befehlsausführungen aus mehreren ScreenConnect-Instanzen aus, die ohne korrespondierende Benutzeranmeldungen auftraten und in den Protokollen mit RMM+ verbunden waren. Das liefert einen konkreten technischen Erklärungsansatz für die beobachteten Fernbefehle. Eine allgemeine Schwachstelle im ScreenConnect-Kernprodukt oder ein abschließend bewiesener Eintrittsweg für sämtliche Fälle ist damit nicht festgestellt. ConnectWise verweist in seiner fortlaufend aktualisierten Sicherheitsmitteilung weiterhin auf laufende Untersuchungen.

288 Rechner bei 48 Organisationen beobachtet

Huntress registrierte am 11. November bei eigenen Kunden innerhalb von etwa 90 Minuten mindestens 288 betroffene Endpunkte in 48 Organisationen. Über die „Run“-Funktion von ScreenConnect wurden Befehle zur stillen Installation eines weiteren Fernwartungsclients ausgeführt. Hinzu kamen PowerShell- und Batch-Dateien aus dem 16 Dateien umfassenden SCKit-Paket. Die Zahlen beziehen sich nur auf die von Huntress untersuchten Umgebungen, nicht auf alle weltweit betroffenen ScreenConnect-Installationen.

SCKit soll unter anderem einen eigenen Fernwartungszugang dauerhaft einrichten und bestehende Clients verdrängen. Im untersuchten Code fand Huntress außerdem Funktionen zum Abgreifen von Technikernutzungssitzungen und zur anschließenden Ausführung von Befehlen auf weiteren Kundenrechnern. Eine erfolgreiche Weiterverbreitung vom Kundenrechner über eine Techniker-Workstation zu anderen Endpunkten wurde von Huntress bislang nicht beobachtet. Das Risiko einer Verbindung zu einem kompromittierten Rechner bleibt dennoch erheblich.

Auch Sophos hat die Kampagne untersucht. In einem Fall wurde ein Installer mit curl.exe in das Windows-Temp-Verzeichnis geladen und über msiexec.exe unbemerkt installiert. Weitere Aktivität umfasste PowerShell-Befehle zum Abruf nachgelagerter Skripte. Sophos veröffentlicht dazu konkrete Instanzkennungen und Anhaltspunkte für die Protokollauswertung.

Was Betreiber und IT-Dienstleister prüfen sollten

Administratoren sollten zuerst die fünf genannten Erweiterungen in ihrer ScreenConnect-Umgebung identifizieren und ihre Deaktivierung sicherstellen. Anschließend sind Administratoranmeldungen, ungewöhnliche API- und Fernbefehle, Toolbox-Aktionen sowie die Installation fremder Fernwartungsclients zu prüfen. Ein zusätzlicher ScreenConnect-Client, dessen Relay oder Serverkennung nicht zur eigenen Infrastruktur gehört, ist ein wichtiger Anhaltspunkt. Bei der Prüfung sind auch Technikergeräte zu berücksichtigen.

Bei Verdacht auf einen befallenen Rechner warnen ConnectWise und Huntress ausdrücklich vor einer interaktiven Untersuchung über ScreenConnect. Eine Verbindung kann das Technikergerät einem Risiko durch die im SCKit-Code enthaltenen Weiterverbreitungsmechanismen aussetzen. Stattdessen sollte die Untersuchung mit vertrauenswürdigen getrennten EDR- oder Administrationswerkzeugen erfolgen. Der Rechner ist zu isolieren; die Entfernung eines fremden Clients muss auch dessen Dienste, geplante Aufgaben und weitere Persistenzmechanismen berücksichtigen.

Von einem sauberen Gerät aus sollten betroffene ScreenConnect-Websitzungen und Sitzungen des eingesetzten Identitätsanbieters beendet, gefährdete Zugangsdaten erneuert sowie Berechtigungen und MFA-Einstellungen überprüft werden. Die vollständige Wiederherstellung erfordert darüber hinaus, unerwünschte Software zu entfernen und eine erneute Infektion auszuschließen. Konkrete technische Suchmerkmale finden sich im Huntress-Forschungsbericht.

Weitere Informationen

ConnectWise führt die Maßnahmen und den aktuellen Untersuchungsstand in der Sicherheitsmitteilung und der Partneranleitung auf. Ergänzend stehen die SCKit-Analyse von Huntress sowie der technische Bericht von Sophos zur Verfügung. Gleichwertige deutschsprachige Fassungen dieser konkreten Veröffentlichungen sind derzeit nicht verfügbar.