Компанія ConnectWise розслідує масовану хакерську атаку на постачальників послуг

Компанія ConnectWise проводить розслідування масштабної кампанії, спрямованої на постачальників керованих ІТ-послуг (MSP). Зловмисники використовують скомпрометовані середовища платформи віддаленого доступу ScreenConnect для інсталяції додаткових клієнтів віддаленого управління на пристрої клієнтів. Про виявлення проблеми повідомила компанія з кібербезпеки Huntress у середу.

Про це повідомляє BleepingComputer

За даними Huntress, хакери використовують функцію виконання команд у ScreenConnect для встановлення сторонніх клієнтів, що надає їм доступ до систем в обхід легітимних інструментів адміністратора. Дослідники також попередили про можливість зворотної атаки, під час якої зловмисники можуть скомпрометувати робочу станцію технічного спеціаліста, якщо той ініціює сесію з інфікованим пристроєм.

Ми знаємо про повідомлення щодо шкідливої активності, яка впливає на обмежену кількість партнерів ScreenConnect, і активно проводимо розслідування.

— ConnectWise

Компанія ConnectWise рекомендувала своїм партнерам утриматися від відкриття інтерактивних сесій з підозрілими пристроями, переглянути активність облікових записів та оновити автентифікацію.

Дослідники з Huntress припускають, що зловмисники могли отримати доступ через скомпрометовані облікові дані або перехоплені сесії підтримки. На користь цього свідчать послідовні ідентифікатори, присвоєні хакерами, які вказують на те, що інші компанії могли бути уражені раніше. Фахівці закликають користувачів перевіряти історію виконаних команд.

Аналіз раніше виявлених шкідливих скриптів свідчить про те, що один із використаних ідентифікаторів міг бути задіяний у фішингових кампаніях ще в липні 2026 року, проте зв’язок між минулою активністю та поточною атакою наразі залишається нез’ясованим.