ConnectWise łączy włamania przez ScreenConnect do blisko 50 organizacji z RMM+

ConnectWise bada nieautoryzowany dostęp do swoich klientów po doniesieniach firm bezpieczeństwa, że przez narzędzie ScreenConnect włamano się do blisko 50 organizacji. Firma wiąże te włamania z RMM+, rozszerzeniem przygotowanym przez niezależnego dostawcę. Udostępnia ono API do zdalnego uruchamiania poleceń, a dostęp do niego chroni hasło ustawione przez partnera przy instalacji. Napastnicy instalowali dodatkowe oprogramowanie do zdalnego dostępu. Komputery techników mogły zostać przejęte podczas połączeń z zaatakowanymi urządzeniami.

Kogo dotyczy

Dotyczy to firm, które korzystają z ConnectWise ScreenConnect i mają zainstalowane rozszerzenie z rodziny RMM+. ConnectWise znalazło je w około 400 środowiskach partnerów. Według firmy sama obecność rozszerzenia nie oznacza jeszcze włamania.

Co zrobić

ConnectWise wyłączyło RMM+ w tych 400 środowiskach, ale w instalacjach lokalnych trzeba to zrobić samodzielnie. Wszyscy klienci powinni sprawdzić, czy RMM+ jest wyłączone, i uważać na połączenia ScreenConnect z urządzeniami, które mogły zostać zaatakowane. Według firmy wyłączenie rozszerzenia i zmiana haseł mogą nie usunąć oprogramowania ani dostępu, który napastnicy już założyli na komputerach. Dlatego trzeba też szukać nietypowych logowań i serii nieudanych prób logowania.