Erfassung von Super-Admin-Zugangsdaten bei ScreenConnect

Kampagnenübersicht

Samantha Clarke und das Mimecast Threat Research-Team haben eine andauernde Kampagne zum Diebstahl von Anmeldedaten (mit der Bezeichnung MCTO3030) identifiziert, die sich gezielt gegen ScreenConnect-Cloud-Administratoren richtet. Diese ausgeklügelte Organisation wendet seit 2022 durchgehend dieselben Taktiken, Techniken und Vorgehensweisen an und beweist damit bemerkenswerte operative Sicherheit durch den Vertrieb kleiner Mengen, wodurch sie weitgehend unentdeckt agieren konnte.

Im Rahmen der Kampagne werden Spear-Phishing-E-Mails über Amazon Simple Email Service (SES)-Konten versendet, die sich an hochrangige IT-Fachkräfte richten, darunter Direktoren, Manager und Sicherheitsmitarbeiter mit erweiterten Berechtigungen in ScreenConnect-Umgebungen. Die Angreifer haben es gezielt auf Superadministrator-Zugangsdaten abgesehen, die ihnen umfassende Kontrolle über die Fernzugriffsinfrastruktur im gesamten Unternehmen verschaffen.

Sobald der Benutzer auf die Schaltfläche „Sicherheit überprüfen“ klickt, wird er zu einer von zwei Arten von Phishing-Seiten weitergeleitet:

Beispiel Nr. 1

Beispiel Nr. 2

Was diese Kampagne besonders besorgniserregend macht, ist ihr offensichtlicher Zusammenhang mit Ransomware-Angriffen. Untersuchungen von Sophos deuten darauf hin, dass auch Partner der Ransomware „Qilin“ ähnliche Angriffe auf ScreenConnect durchführen, was darauf hindeutet, dass diese Aktivitäten zum Sammeln von Anmeldedaten als erste Zugangswege für den anschließenden Einsatz von Ransomware dienen.

Die erbeuteten Super-Admin-Zugangsdaten ermöglichen es Angreifern, bösartige ScreenConnect-Clients oder -Instanzen gleichzeitig auf mehrere Endpunkte zu übertragen, was eine schnelle laterale Bewegung und die Verbreitung von Ransomware erleichtert.