Cảnh báo: Chiến dịch tấn công ScreenConnect lây lan qua các extension bên thứ ba

ConnectWise vừa đưa ra thông báo khẩn cấp sau khi phát hiện các hành vi truy cập trái phép nhắm vào nền tảng ScreenConnect. Theo đánh giá ban đầu, kẻ tấn công không khai thác lỗ hổng bảo mật trực tiếp trong phần mềm ScreenConnect mà lạm dụng các extension của bên thứ ba được cài đặt trong môi trường của đối tác.

Chi tiết chiến dịch tấn công

Công ty an ninh mạng Huntress, đơn vị đang theo dõi sát sao vụ việc, cho biết kẻ tấn công đã lợi dụng quyền truy cập vào các bảng điều khiển (panel) ScreenConnect trên cloud để thực thi lệnh từ xa. Mục tiêu là cài đặt các client ScreenConnect độc hại lên ít nhất 288 endpoint tại 48 tổ chức khác nhau. Hoạt động này được ghi nhận bắt đầu từ ngày 11/11/2026.

Cơ chế tấn công diễn ra theo mô hình lây lan giống như worm:

Truy cập ban đầu: Kẻ tấn công sử dụng tính năng ‘Run Command’ trên bảng điều khiển đã bị chiếm quyền để triển khai client độc hại, tạo ra một backdoor bền vững.
Di chuyển ngang (Lateral Movement): Khi kỹ thuật viên kết nối vào một endpoint bị nhiễm, malware có thể lây ngược lại máy trạm của kỹ thuật viên, đánh cắp session cookie và token xác thực, từ đó chiếm quyền điều khiển các bảng điều khiển ScreenConnect khác mà kỹ thuật viên đó có quyền truy cập.

Công cụ độc hại SCKit

Các chuyên gia phát hiện một bộ công cụ mang tên SCKit được sử dụng để duy trì quyền truy cập từ xa và chặn bắt cookie phiên làm việc. Malware này còn có khả năng thêm các loại trừ (exclusion) vào Microsoft Defender, tạo tác vụ định kỳ ‘TrapWatch’ và thay thế các tệp tin ScreenConnect hợp lệ bằng phiên bản do kẻ tấn công kiểm soát.

Khuyến nghị cho quản trị viên

ConnectWise đã tạm thời vô hiệu hóa 5 extension bao gồm: Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link, và RMM+ Password Link. Các tổ chức đang sử dụng ScreenConnect được khuyến cáo:

Kiểm tra lịch sử ‘Run Command’ để tìm các hoạt động bất thường.
Giám sát chặt chẽ các tài khoản quản trị mới, thay đổi quyền người dùng hoặc các cài đặt extension lạ.
Cảnh giác với các yêu cầu hỗ trợ bất ngờ, tin nhắn đặt lại mật khẩu hoặc phần mềm lạ được tải xuống qua các kênh tin cậy.
Lưu trữ nhật ký (log) hoạt động để phục vụ công tác điều tra nếu phát hiện dấu hiệu xâm nhập.

Hiện tại, các nhà nghiên cứu từ Huntress và Sophos vẫn đang tiếp tục phân tích các IoC (Indicators of Compromise) bao gồm các địa chỉ IP, tên miền độc hại và các tệp tin script (như sckit-run.bat, sckit-decoder.ps1) để hỗ trợ cộng đồng phòng thủ.

Nguồn tham khảo: The Hacker News