627/69 (IT) ประจำวันศุกร์ที่ 13 พฤศจิกายน 2569
ConnectWise เปิดเผยว่ากำลังตรวจสอบเหตุการณ์ที่ผู้โจมตีเข้าถึงบัญชี ScreenConnect ของผู้ให้บริการ Managed Service Provider (MSP) โดยไม่ได้รับอนุญาต และใช้ระบบดังกล่าวติดตั้งซอฟต์แวร์ Remote Access เพิ่มเติมบนอุปกรณ์ของลูกค้า โดย Huntress ตรวจพบ MSP ถูกบุกรุกอย่างน้อย 6 แห่ง และมีอุปกรณ์ได้รับผลกระทบมากกว่า 286 เครื่องใน 47 องค์กร ทั้งนี้ ConnectWise ยังไม่พบหลักฐานว่าเหตุการณ์เกิดจากการโจมตีระบบของบริษัทหรือการใช้ช่องโหว่ใน ScreenConnect โดยตรง ขณะที่ช่องทางที่ผู้โจมตีใช้เข้าถึงระบบในช่วงแรกอยู่ระหว่างการตรวจสอบ
หลังจากเข้าถึง ScreenConnect ผู้โจมตีใช้ฟังก์ชัน Run Command เพื่อติดตั้ง ScreenConnect Client ที่ผู้โจมตีควบคุมลงบนอุปกรณ์ของลูกค้า ทำให้สามารถเข้าถึงระบบได้โดยไม่ต้องพึ่ง ScreenConnect ของ MSP นอกจากนี้ ยังพบส่วนขยายจากผู้พัฒนาภายนอก 5 รายการ ได้แก่ Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link และ RMM+ Password Link ที่อาจเกี่ยวข้องกับเหตุการณ์ และได้ปิดใช้งานส่วนขยายดังกล่าวในประมาณ 400 Partner Environment เป็นมาตรการป้องกัน อย่างไรก็ตาม ยังไม่มีการยืนยันว่าส่วนขยายเหล่านี้เป็นช่องทางที่ผู้โจมตีใช้ในการโจมตี
ผู้ดูแลระบบ ScreenConnect ควรตรวจสอบและปิดใช้งานส่วนขยายทั้ง 5 รายการ โดยเฉพาะระบบที่ติดตั้งภายในองค์กร (On-premises) ที่ต้องดำเนินการด้วยตนเอง และไม่ควรเปิดใช้งานหรือติดตั้งใหม่จนกว่าจะมีคำแนะนำเพิ่มเติม พร้อมตรวจสอบ Authentication Log, ประวัติการติดตั้งส่วนขยาย, กิจกรรมของบัญชีผู้ดูแลระบบ, Run Command และ Toolbox รวมถึงตรวจหาซอฟต์แวร์ Remote Access ที่ไม่ได้รับอนุญาต หากสงสัยว่าระบบถูกบุกรุก ควรหลีกเลี่ยงการเชื่อมต่อผ่าน Interactive ScreenConnect Session