SlashAndGrab: la vulnerabilidad de ConnectWise ScreenConnect explicada

El “exploit” es trivial y vergonzosamente fácil.

Estas son palabras que nunca quieres escuchar cuando se habla de vulnerabilidades en un producto ampliamente usado, pero así describió John Hammond, investigador de seguridad principal en Huntress, la capacidad de explotar las vulnerabilidades de ConnectWise ScreenConnect en el análisis técnico del equipo de Huntress. Luego ves un titular en TechCrunch que dice, “‘No puedo endulzarlo — esta mierda es mala,' dijo el CEO de Huntress,” y sabes que esto no es un evento de ciberseguridad común y corriente.

Un desglose no técnico de la vulnerabilidad SlashAndGrab de ScreenConnect

ConnectWise ScreenConnect es un software popular usado para monitorear y administrar sistemas de forma remota. El 19 de febrero, ConnectWise emitió un aviso de que todas las versiones por debajo de la 23.9.8 de su versión on-prem de ScreenConnect tenían dos vulnerabilidades (CVE-2024-1709 y CVE-2024-1708) e instó a sus usuarios a aplicar el parche de inmediato. Normalmente, esto no sería motivo de alarma. Sin embargo, una de las vulnerabilidades recibió una puntuación CVSS de 10 sobre 10, lo que significa que era el nivel de gravedad más alto. Es decir, del nivel de “deja lo que estés haciendo y aplica el parche ahora”.

¿Qué provocó esta urgencia? Bueno, al principio, no estábamos muy seguros. El anuncio venía con muy pocos detalles. Así que el equipo de investigación de Huntress entró en acción de inmediato, tratando de aprender todo lo posible. Les tomó menos de dos horas entender el exploit y construir una prueba de concepto (PoC). Aunque esto se debió sin duda a lo increíblemente inteligentes que son las personas en Huntress, también fue un testimonio de lo básica que era esta vulnerabilidad y de lo fácil que sería para un atacante explotarla.

Puedes leer exactamente cómo realizamos nuestra investigación y construimos la PoC, así como todos los detalles técnicos de lo que encontramos, en nuestro blog. Si eres como yo y solo quieres la versión fácil, aquí está lo simple que es explotar la vulnerabilidad SlashAndGrab.

Paso 1: Ve a setupwizard.aspx. Aquí es donde configuras ScreenConnect la primera vez. Si ScreenConnect ya estaba configurado, no habría nada que ver o hacer aquí.

Paso 2: Agrega una barra diagonal “/” al final de la dirección.

Paso 3: Ya estás dentro. Esto te lleva a la configuración de “Welcome To ScreenConnect”. Ahora puedes crear tu propio nombre de usuario y contraseña, y obtener acceso completo.

Eso es todo. Ese es el ataque. Y ahora ya sabes por qué lo llamamos SlashAndGrab.

Cuando uno de mis compañeros de equipo entendió por primera vez lo que se necesitaba para explotarlo, dijo: “Es tan simple que mi hijo de 13 años podría hacerlo.” No estaba exagerando. Sin embargo, como puedes ver en nuestros artículos de investigación, eso no impide que el análisis técnico se vuelva bastante complejo (especialmente para alguien sin conocimientos técnicos). Algunos términos técnicos que escucharás relacionados con este ataque incluyen “Authentication Bypass” y “Path Traversal”. Un Authentication Bypass es una falla que permite a los atacantes evadir los controles de seguridad y acceder a áreas restringidas sin los permisos adecuados. Es una forma de evadir la autenticación. El Path Traversal permite a los atacantes acceder a archivos o directorios en el servidor a los que no deberían poder llegar.

El impacto potencial

Había miles de servidores de ScreenConnect vulnerables. Lamentablemente, muchos de los que no pudieron aplicar el parche a tiempo sufrieron consecuencias graves. En las 48 horas posteriores a que la prueba de concepto del exploit se hiciera pública, Huntress informó que “los adversarios que están aprovechando esta vulnerabilidad han estado MUY ocupados”. Los atacantes usaban su nuevo acceso para hacer todo tipo de cosas maliciosas, incluyendo distribuir ransomware, mineros de criptomoneda y acceso remoto adicional para mantener presencia en los dispositivos incluso después de resolverse las vulnerabilidades de ScreenConnect.

¿Necesitas ayuda para monitorear actividad relacionada con esta vulnerabilidad? Regístrate para una prueba gratuita.

^{La respuesta de Huntress}

Comunicación e investigación

Nos enteramos de la vulnerabilidad (con pocos detalles) el lunes por la tarde. Nuestro equipo de investigación comenzó de inmediato a analizar el parche para entender mejor qué buscaba solucionar. En solo unas horas, Huntress había creado con éxito una prueba de concepto. La prueba de concepto confirmó lo que ConnectWise indicaba: que, como dijo nuestro CEO Kyle Hanslovan en un titular de TechCrunch, “esto es una mierda”.

Una vez que entendimos los detalles y la gravedad de la situación, inmediatamente dimos la alerta a todos los socios de Huntress que tenían una versión vulnerable de ScreenConnect. En total, enviamos más de 1.600 informes de incidentes con instrucciones claras sobre lo que debían hacer. También publicamos un blog alentando a cualquier persona de la comunidad a aplicar el parche de inmediato. Esto no era un simulacro.

Es importante señalar que, si bien teníamos una prueba de concepto (PoC) funcional y ya entendíamos los detalles de la vulnerabilidad, no revelamos ninguna información que pudiera alertar a los hackers. Hacerlo habría sido como entregarles un manual de instrucciones a los malos, especialmente dada la simplicidad del exploit.

Guía de detección

En ese momento, sabíamos que los profesionales de TI y seguridad de toda la industria estaban nerviosos. Aunque seguíamos repitiendo el mensaje de que debían aplicar el parche de inmediato, también publicamos un segundo blog con una guía de detección detallada para que pudieran empezar a investigar cualquier actividad maliciosa potencialmente relacionada. Esto rápidamente se convirtió en el recurso de referencia para cualquiera que buscara realizar detecciones de defensa en profundidad. Luego, Huntress publicó reglas de detección en SigmaHQ, lo que ayudaría a acelerar la búsqueda para muchos en la comunidad.

Creación de la vacuna

En lugar de quedarnos de brazos cruzados esperando a que las cosas empeoraran (de verdad, muy mal), hicimos algo proactivo. Lanzamos una vacuna de "mitigación" para los endpoints que ejecutaban la versión vulnerable. Este parche rápido mantendría a salvo a nuestros socios hasta que pudieran aplicar el parche definitivo. A diferencia de muchos otros, Huntress EDR está construido sobre tecnología propia. Esto nos da la capacidad de reaccionar más rápido y con mayor agilidad que quienes dependen de terceros, y la vacuna de SlashAndGrab es un ejemplo perfecto de eso.

La vacuna que lanzamos para los endpoints afectados se implementó antes de que se publicara cualquier detalle público sobre la vulnerabilidad y antes de que supiéramos de explotación activa en el mundo real. Por suerte, funcionó, y muy pocos de nuestros socios se vieron afectados. Una vez más, escuchamos muchos comentarios de nuestros socios de que "¡Huntress me salvó el pellejo!"

Añade una red de seguridad a tu pila de seguridad

Análisis completo

Una vez que, lamentablemente, múltiples partes compartieron la PoC y otros detalles del exploit y quedaron ampliamente disponibles para el público, publicamos nuestro análisis completo y detallado de SlashAndGrab. Esto ayudaría a la comunidad a comprender mejor la gravedad del evento, enfatizando la necesidad de aplicar el parche de inmediato y continuar brindando orientación de detección para asegurarse de que no hubieran sido comprometidos. Nuevamente, esta información se retuvo hasta que fue ético compartirla.

Seguimiento de Tradecraft

Mientras el Centro de Operaciones de Seguridad de Huntress (SOC) detectaba y expulsaba a los adversarios activos, pudimos comenzar a rastrear qué estaban haciendo los hackers con el acceso que habían logrado obtener a partir de la explotación de SlashAndGrab en ScreenConnect.

Huntress, una vez más, lideró la investigación comunitaria al publicar un informe detallado sobre las tácticas de post-explotación. Esto ayudó a la comunidad a saber qué actividad buscar para poder detectar mejor a los adversarios y mantener protegidas sus organizaciones.

Nota: Si te preguntas cómo es que algunos socios de Huntress se vieron afectados si publicamos un parche rápido, es porque no todos los socios implementan Huntress en todos sus clientes o en todos sus endpoints. Así que, lamentablemente, algunos quedaron desprotegidos. Además, incorporamos a muchos clientes y socios nuevos que aprovecharon nuestra prueba gratuita para obtener ayuda externa después de darse cuenta de que posiblemente habían sido hackeados.