Спеціалісти з безпеки виявили вразливість серверів, що дозволяє хакерам атакувати критичні інфраструктури

Зловмисники активно використовують вразливість Screen­Con­nect для зламу неоновлених серверів з метою розгортання програми-здирника. Шкідливе ПЗ розроблене і експлуатується учасниками потужного міжнародного угруповання хакерів під назвою «Lock­Bit».

Вразливість обходу аутентифікації CVE-2024–1709 (оцінка CVSS: 10.0) стала об’єктом активної експлуатації з 20 лютого, лише через день після того, як компанія Con­nect­Wise випустила оновлення безпеки. Також було усунуто вразливість обходу шляху (path-tra­ver­sal) CVE-2024–1708 (оцінка CVSS: 8.4), що призводить до віддаленого виконання коду. Атаки можуть здійснюватися дистанційно та не вимагають взаємодії з користувачем.

Платформа моніторингу загроз Shad­owserv­er раніше повідомила, що 643 IP-адреси експлуатують CVE-2024–1709. Shodan відстежує понад 8659 серверів Screen­Con­nect, з яких тільки 980 працюють на оновленій версії Screen­Con­nect 23.9.8.

За даними Sophos X‑Ops, під час атак зловмисники розгортають програму-вимагач Lock­Bit на системах жертв, отримуючи доступ через експлуатацію зазначених недоліків Screen­Con­nect. Компанія Huntress підтвердила атаки на місцеві органи влади, екстрену службу та медичну клініку з використанням уразливості CVE-2024–1709.

Lock­Bit з’явилася у 2019 році. До 2022 року ця програма-вимагач стала найпоширенішою у світі. Її розробники пропонували своє рішення як RaaS (Ran­somware-as-a-Ser­vice) — це модель, за якої шкідливе ПЗ поширюється як франшиза.

Нагадаємо — СБУ спільно з правоохоронцями США, Великої Британії та ЄС викрила міжнародне угруповання хакерів-вимагачів Lock­Bit. За матеріалами справи, зловмисники викрадали у відомих компаній таємну інформацію і персональні дані, а потім вимагали за них «викуп». Серед організаторів та учасників угруповання були громадяни України та рф.