ScreenConnect: Angreifer verteilen über Fernwartungszugänge von IT-Dienstleistern eigene Clients

ScreenConnect ist ein Fernwartungsprogramm, das viele IT-Dienstleister einsetzen, um die Rechner ihrer Kunden zu betreuen. Seit dem 11. November beobachten die Sicherheitsfirmen Huntress und Sophos, dass Angreifer über solche Zugänge Befehle an betreute Rechner schicken. Dabei installieren sie einen zweiten, von ihnen gesteuerten ScreenConnect-Client und richten Ausnahmen im Virenschutz Microsoft Defender ein. Huntress zählt bisher mindestens 288 betroffene Rechner in 48 Organisationen.

Der Hersteller ConnectWise hat selbst eine Sicherheitsmeldung veröffentlicht. Nach seinen Angaben gibt es keinen Hinweis auf eine Lücke in ScreenConnect oder einen Einbruch in die eigene Infrastruktur. Vermutet wird ein Missbrauch von Erweiterungen anderer Anbieter, über die sich Befehle aus der Ferne ausführen lassen. Vorsorglich hat ConnectWise fünf solche Erweiterungen in rund 400 Partnerumgebungen abgeschaltet. Wer ScreenConnect selbst betreibt, muss das selbst erledigen. Wie die Angreifer ursprünglich Zugang erhielten, ist noch nicht geklärt.

Für Firmen, deren Rechner von einem IT-Dienstleister über ScreenConnect betreut werden, ist das Risiko indirekt: Sie selbst haben nichts falsch gemacht, sind aber über den Zugang des Dienstleisters erreichbar. ConnectWise weist darauf hin, dass das Abschalten der Erweiterungen und neue Passwörter einen bereits eingerichteten Zugang auf den Rechnern nicht automatisch entfernen.