Mã độc SCKit biến các phiên hỗ trợ ScreenConnect thành bàn đạp tấn công MSP

Một chiến dịch tấn công nhắm vào các triển khai ConnectWise ScreenConnect đang gây chú ý khi sử dụng bộ công cụ mã độc có tên SCKit. Theo các nhà nghiên cứu từ Blackpoint Cyber, mã độc này không chỉ nhắm vào các điểm cuối (endpoint) mà còn tìm cách lây nhiễm ngược lại máy tính của các kỹ thuật viên hỗ trợ.

Cơ chế tấn công của SCKit

SCKit khai thác lỗ hổng bảo mật CVE-2026-84869 (điểm CVSS 9.9), một lỗi liên quan đến quản lý đặc quyền và thiếu kiểm soát ủy quyền. Lỗ hổng này cho phép kẻ tấn công truyền tải và thực thi tệp tin thông qua một phiên làm việc từ xa mà không cần sự xác nhận từ máy chủ. Tuy nhiên, các chuyên gia khẳng định rằng việc cập nhật bản vá mới nhất cho ScreenConnect hoàn toàn có thể ngăn chặn được exploit này.

Điểm nguy hiểm nhất của SCKit nằm ở khả năng RelayTrap. Sau khi xâm nhập thành công, mã độc sẽ tìm cách chiếm đoạt các phiên làm việc đã được xác thực của kỹ thuật viên. Bằng cách đánh cắp cookie .ASPXAUTH từ trình duyệt và bộ nhớ tiến trình, kẻ tấn công có thể mạo danh kỹ thuật viên để gửi lệnh đến các endpoint khác mà người này có quyền quản trị, từ đó di chuyển ngang (lateral movement) trong môi trường của khách hàng.

Quy trình lây nhiễm

Mã độc sử dụng tính năng Run Command tích hợp sẵn của ScreenConnect để thực thi các lệnh độc hại:

• Kiểm tra sự tồn tại của ScreenConnect trên máy mục tiêu.
• Tải xuống và chạy tệp cài đặt MSI (sc.msi) để thả tập lệnh sckit-run.bat.
• Kết nối đến máy chủ điều khiển để lấy bộ giải mã PowerShell và triển khai các thành phần của SCKit.
• Thiết lập quyền truy cập từ xa bền vững bằng cách cài đặt thêm các client ScreenConnect trái phép.

Liên quan đến các tiện ích mở rộng bên thứ ba

Ngoài việc khai thác lỗ hổng, các cuộc điều tra từ Huntress cho thấy một lỗ hổng xác thực nghiêm trọng trong tiện ích mở rộng RMM+ (phiên bản 1.0.31 và 1.0.32). Lỗi này cho phép kẻ tấn công thực thi lệnh mà không cần xác thực thông qua khóa truy cập mặc định bị để trống. ConnectWise đã tạm thời vô hiệu hóa các tiện ích mở rộng này như một biện pháp phòng ngừa.

Khuyến nghị cho các MSP

Các tổ chức, đặc biệt là các nhà cung cấp dịch vụ quản lý (MSP), cần thực hiện các biện pháp sau:

• Cập nhật ngay lập tức: Đảm bảo tất cả các phiên bản ScreenConnect đều đã được vá lỗi CVE-2026-84869.
• Kiểm soát phiên làm việc: Tăng cường xác thực cho các hành động quản trị viên có tác động cao.
• Giám sát chặt chẽ: Kiểm tra lịch sử lệnh, các cài đặt Access client trái phép và các phiên làm việc của kỹ thuật viên sau khi kết nối với các hệ thống nghi ngờ bị nhiễm mã độc.
• Đánh giá tiện ích mở rộng: Rà soát và vô hiệu hóa các tiện ích mở rộng bên thứ ba không cần thiết hoặc đang nằm trong danh sách cảnh báo của nhà cung cấp.

Hiện tại, ConnectWise đang phối hợp với các đơn vị bảo mật để điều tra sâu hơn về nguồn gốc ban đầu của chiến dịch này.

Nguồn tham khảo: The Hacker News