ScreenConnect: нападателите разпространяват неоторизирани клиенти и зловреден софтуер SCKit към 288 управлявани крайни точки

Какво се случи

На 12 ноември 2026 г. ConnectWise деактивира пет разширения на трети страни за ScreenConnect в среди на партньори. Това беше направено като предпазна мярка след съобщения за неоторизиран достъп. ConnectWise заявява, че не е открила уязвимост в самия софтуер ScreenConnect и компрометиране на собствената си инфраструктура. Първоначалната ѝ оценка е, че субект на заплаха може да злоупотребява с независими разширения на трети страни, инсталирани в средите на партньорите. Начинът, по който нападателите са проникнали, и пълният мащаб на инцидента все още се проучват.

Huntress също следи дейността, която за първи път е открила на 11 ноември 2026 г. около 17:47 UTC. Според Huntress нападателите са използвали достъп до облачно хоствани ScreenConnect панели, за да изпращат команди Run. Тези команди са инсталирали неоторизирани клиенти на ScreenConnect на поне 288 управлявани крайни точки в 48 организации. Huntress не е открила доказателства за нова уязвимост. Според текущите ѝ данни достъпът е бил получен чрез откradени идентификационни данни или превзети сесии на оператори.

Неоторизираните клиенти доставят SCKit, персонализиран зловреден инструментариум. Той поддържа отдалечения достъп отворен дори без първоначалния панел. Освен това добавя изключения в Microsoft Defender, инсталира втори клиент на ScreenConnect, контролиран от нападателя, създава планирана задача с име „TrapWatch“ и може да замени легитимната инсталация на ScreenConnect с копие, контролирано от нападателя.

Huntress анализира полезните товари и откри код, предназначен за по-нататъшно разпространение. Когато техник се свърже със заразена крайна точка, кодът би откраднал бисквитката на сесията .aspxauth от работната станция на техника. След това би използвал тази бисквитка в други панели и би изпратил полезен товар към всяка достижима сесия чрез Shared Toolbox. Huntress заявява, че все още не е наблюдавала успешно разпространение. Sophos отделно е докладвала за неоторизирани внедрявания на клиенти на ScreenConnect, които следват същия модел.

Кой е засегнат

Това засяга организации, които използват ConnectWise ScreenConnect за управление на крайни точки и сървъри, основно MSP и доставчици на ИТ услуги. Досега наблюдаваните атаки са използвали облачно хоствани ScreenConnect панели. ConnectWise е установила около 400 среди на партньори с поне едно от следните разширения:

• Labtech Plus
• RMM Plus
• RMM+
• RMM Plus Password Link
• RMM+ Password Link

Тези разширения предоставят API, който може да изпълнява отдалечени команди. Достъпът до него е защитен с парола, която партньорът задава при настройката. ConnectWise подчертава, че наличието на едно от тези разширения не означава, че сте компрометирани. Не е установена уязвимост в ScreenConnect, така че няма корекция за инсталиране. Huntress отбелязва, че нападателите номерират всеки компрометиран MSP последователно, а номерата, които е видяла, започват от известна точка нататък. Други MSP може следователно да са били атакувани по-рано. Затова Huntress препоръчва на всички потребители на ScreenConnect да проверят историята на Run Command, дори ако не са получавали сигнали.

Какво да направите сега

1. Ако работите с ScreenConnect локално, деактивирайте петте посочени по-горе разширения, както изисква ConnectWise. Не ги включвайте отново, докато ConnectWise не потвърди, че са безопасни.
2. Проверете дали контролите за сигурност (EDR, антивирус) работят на работните станции на техниците и управляваните крайни точки. Проверете за изключения в Microsoft Defender, които никой от екипа ви не е добавил.
3. Запазете одитните и сесийните дневници на ScreenConnect и всички други дневници, които показват подозрителна активност, преди да промените каквото и да е.
4. Нулирайте паролите на всички оператори на ScreenConnect, прекратете активните сесии на операторите и се уверете, че многофакторното удостоверяване е включено за всеки акаунт. Сменете паролите за API на всички разширения.
5. Прегледайте административните акаунти и правата във всеки панел. Премахнете акаунтите и правата, които не можете да обясните.
6. Считайте всяка крайна точка с неоторизиран клиент на ScreenConnect или следи от SCKit за компрометирана. Изолирайте я и я проучете. Почистете я или я преинсталирайте, преди отново да ѝ се доверите. Проверете също работните станции на техниците, които са се свързвали с нея.

Как да проверите дали сте засегнати

• Прегледайте историята на Run Command в панелите на ScreenConnect за команди, които никой от екипа ви не е изпълнявал, особено след 11 ноември 2026 г. Търсете също неочаквани инсталации на разширения, активност в Toolbox и елементи в Shared Toolbox.
• Търсете входове от необичайни местоположения, повтарящи се неуспешни опити за вход, неочаквани запитвания за MFA, нови административни акаунти и промени в правата.
• На крайните точки търсете клиенти на ScreenConnect, които не принадлежат към вашата собствена инстанция, и друг софтуер за отдалечен достъп, който не сте одобрили. Sophos свърза дейността с идентификаторите на инстанции на ScreenConnect d905b2b1b165d0a9, 4b8f4089ddaac6a9 и df1f7ef0cfacd0d8, а също и с допълнителните идентификатори 2588ef5c15954b10 и ed630cc2c873b091.
• Търсете на крайните точки планирана задача с име „TrapWatch“ и следните файлове: sckit-run.bat, sckit-decoder.ps1, TrapWatch.ps1, Panel-Lateral.ps1, Run-Lateral-Full.bat, runnew.cmd, ToolboxRelayUploader.exe и Sqlite3.exe. Sophos също е наблюдавала как curl.exe изтегля ScreenConnect.ClientSetup.msi в C:\Windows\TEMP\sc.msi, който след това msiexec.exe инсталира безшумно.
• Търсете в дневниците на защитната стена, прокси сървъра и DNS за IP адресите 185.99.255[.]28 и 155.94.150[.]39. Търсете също следните домейни: ns[.]mo7sen[.]dev (включително пътя /EadF.php?p=4), sc[.]payproofkit[.]com, cdn007-digitaldownloads[.]com, newnewnew[.]gotdns[.]org и Soxnewwork[.]homedns[.]org.
• Следете за неочаквани заявки за поддръжка, съобщения за нулиране на пароли и изтегляния на софтуер, които пристигат по канал, на който обикновено се доверявате.

Ако откриете някой от тези индикатори, докладвайте ги на ConnectWise и считайте засегнатите панели, работни станции на техници и крайни точки за компрометирани.

Актуализация 14 ноември 2026

Изследователите вече имат вероятно обяснение за това как нападателите са проникнали. Според Huntress разширението RMM+ заобикаля потребителските акаунти, ролите и MFA на ScreenConnect. Вместо това то проверява заявките спрямо един споделен ключ за достъп, съхранен в настройките на разширението. BleepingComputer и The Register съобщават, че RMM+ версии 1.0.31 и 1.0.32 имат уязвимост: ако не е конфигуриран ключ за достъп, те приемат празен ключ. Това е позволило на нападателите да изпълняват команди, без да влизат в ScreenConnect и без да преминават през MFA. Затова нулирането на паролите на операторите и включването на MFA не защитават инстанция, на която RMM+ все още е активиран. Все още не е обявена поправена версия на разширението.

• Уверете се, че RMM+ и свързаните с него разширения са деактивирани на всяка инстанция, включително на локалните сървъри. ConnectWise не може да ги деактивира вместо Вас там.

• Прегледайте историята на Run Command за команди, изпратени чрез RMM+, дори ако журналите за вход не показват подозрителни входове.

• https://www.huntress.com/blog/sckit-worm-rogue-screenconnect

• https://www.bleepingcomputer.com/news/security/new-worm-like-sckit-malware-targets-msps-in-screenconnect-attacks/

• https://www.theregister.com/security/2026/11/12/hackers-exploiting-screenconnect-plugin-flaw-to-spread-malware-across-hundreds-of-pcs/5309361

• https://www.cybersecuritydive.com/news/connectwise-disables-third-party-extensions-cyberattack-ScreenConnect/874490/

Източници

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2026/11/screenconnect-attacks-target-at-least.html