ScreenConnect: útočníci šíří nepovolené klienty a malware SCKit na 288 spravovaných koncových zařízení

Co se stalo

Dne 12. listopadu 2026 ConnectWise jako preventivní opatření deaktivoval pět rozšíření ScreenConnect třetích stran v prostředích partnerů. Učinil tak po hlášeních o neoprávněném přístupu. ConnectWise uvádí, že v softwaru ScreenConnect nenašel žádnou zranitelnost ani kompromitaci vlastní infrastruktury. Jeho první závěr je, že útočníci mohou zneužívat nezávislá rozšíření třetích stran nainstalovaná v prostředích partnerů. Jak se útočníci dostali dovnitř a jaký je plný rozsah incidentu, se stále vyšetřuje.

Huntress tuto aktivitu také sleduje. Poprvé ji zachytil 11. listopadu 2026 přibližně v 17:47 UTC. Podle Huntress útočníci využili přístup k cloudově hostovaným panelům ScreenConnect k odesílání příkazů Run. Tyto příkazy nainstalovaly nepovolené klienty ScreenConnect na nejméně 288 spravovaných koncových zařízeních ve 48 organizacích. Huntress nezaznamenal důkaz o nové zranitelnosti. Podle jeho aktuálních dat je způsobem vniknutí odcizení přihlašovacích údajů nebo převzetí relací operátorů.

Nepovolení klienti doručují SCKit, vlastní škodlivou sadu nástrojů. Ta udržuje vzdálený přístup otevřený i bez původního panelu. Dále přidává výjimky do Microsoft Defenderu, instaluje druhého klienta ScreenConnect ovládaného útočníkem, vytváří naplánovanou úlohu s názvem "TrapWatch" a může nahradit legitimní instalaci ScreenConnect kopií pod kontrolou útočníka.

Huntress analyzoval škodlivý kód a našel část určenou k dalšímu šíření. Když se technik připojí k infikovanému zařízení, kód ukradne cookie relace .aspxauth z pracovní stanice technika. Poté ji použije na dalších panelech a odešle payload každé dosažitelné relaci přes Shared Toolbox. Huntress zatím neviděl, že by se toto šíření úspěšně uskutečnilo. Společnost Sophos nezávisle nahlásila neoprávněná nasazení klientů ScreenConnect, která sledují stejný vzorec.

Koho se to týká

Dopad mají organizace, které používají ConnectWise ScreenConnect ke správě koncových zařízení a serverů, zejména MSP a poskytovatelé IT služeb. Dosud pozorované útoky využívaly cloudově hostované panely ScreenConnect. ConnectWise zjistil přibližně 400 prostředí partnerů, kde je nainstalováno alespoň jedno z těchto rozšíření:

• Labtech Plus
• RMM Plus
• RMM+
• RMM Plus Password Link
• RMM+ Password Link

Tato rozšíření poskytují API, které umí spouštět vzdálené příkazy. Přístup k němu chrání heslová fráze, kterou partner nastavuje při instalaci. ConnectWise zdůrazňuje, že instalace jednoho z těchto rozšíření neznamená, že jste kompromitováni. Žádná zranitelnost ScreenConnect nebyla identifikována, takže neexistuje oprava k instalaci. Huntress uvedl, že útočníci očíslovávají kompromitovaná MSP postupně a čísla, která viděl, začínají uprostřed řady. Jiná MSP tak mohla být zasažena dříve. Proto Huntress doporučuje všem uživatelům ScreenConnect zkontrolovat historii příkazů Run Command, i když neobdrželi žádná upozornění.

Co udělat nyní

1. Pokud provozujete ScreenConnect on-premises, deaktivujte pět výše uvedených rozšíření, jak žádá ConnectWise. Nezapínejte je zpět, dokud ConnectWise neuvede, že je to bezpečné.
2. Ověřte, že bezpečnostní nástroje (EDR, antivirus) běží na pracovních stanicích techniků a na spravovaných koncových zařízeních. Zkontrolujte výjimky Microsoft Defenderu, které nikdo z vašeho týmu nepřidal.
3. Před jakoukoli změnou uchovejte auditní a relační logy ScreenConnect a další logy, které ukazují podezřelou aktivitu.
4. Resetujte hesla všech operátorů ScreenConnect, ukončete aktivní relace operátorů a ujistěte se, že je u každého účtu zapnuté vícefaktorové ověřování. Změňte heslové fráze všech API rozšíření.
5. Zkontrolujte účty administrátorů a oprávnění v každém panelu. Odstraňte účty a práva, která nedokážete vysvětlit.
6. S každým koncovým zařízením s nepovoleným klientem ScreenConnect nebo artefakty SCKit zacházejte jako s kompromitovaným. Izolujte jej a prošetřete. Před dalším důvěřováním jej vyčistěte nebo přeinstalujte. Zkontrolujte také pracovní stanice techniků, kteří se k němu připojili.

Jak zjistit, zda jste byli zasaženi

• V panelech ScreenConnect zkontrolujte historii příkazů Run Command, zda neobsahuje příkazy, které nikdo z vašeho týmu nespustil, zejména od 11. listopadu 2026. Hledejte také neočekávané instalace rozšíření, aktivitu Toolboxu a položky Shared Toolbox.
• Hledejte přihlášení z neobvyklých míst, opakovaná neúspěšná přihlášení, neočekávané výzvy k MFA, nové účty administrátorů a změny oprávnění.
• Na koncových zařízeních hledejte klienty ScreenConnect, které nepatří k vaší vlastní instanci, a jiný software pro vzdálený přístup, který jste neschválili. Sophos spojil aktivitu s ID instancí ScreenConnect d905b2b1b165d0a9, 4b8f4089ddaac6a9 a df1f7ef0cfacd0d8 a s dalšími ID instancí 2588ef5c15954b10 a ed630cc2c873b091.
• Na koncových zařízeních hledejte naplánovanou úlohu s názvem "TrapWatch" a tyto soubory: sckit-run.bat, sckit-decoder.ps1, TrapWatch.ps1, Panel-Lateral.ps1, Run-Lateral-Full.bat, runnew.cmd, ToolboxRelayUploader.exe a Sqlite3.exe. Sophos také zaznamenal, že curl.exe stáhl ScreenConnect.ClientSetup.msi do C:\Windows\TEMP\sc.msi, který pak msiexec.exe tiše nainstaloval.
• V logech firewallu, proxy a DNS hledejte IP adresy 185.99.255[.]28 a 155.94.150[.]39. Hledejte také tyto domény: ns[.]mo7sen[.]dev (včetně cesty /EadF.php?p=4), sc[.]payproofkit[.]com, cdn007-digitaldownloads[.]com, newnewnew[.]gotdns[.]org a Soxnewwork[.]homedns[.]org.
• Dávejte pozor na neočekávané žádosti o podporu, zprávy o resetu hesla a stahování softwaru, které přijdou přes kanál, kterému běžně důvěřujete.

Pokud najdete některý z těchto indikátorů, nahlaste je společnosti ConnectWise a s dotčenými panely, pracovními stanicemi techniků a koncovými zařízeními zacházejte jako s kompromitovanými.

Aktualizace 14. listopadu 2026

Výzkumníci nyní mají pravděpodobné vysvětlení toho, jak se útočníci dostali dovnitř. Podle společnosti Huntress rozšíření RMM+ obchází uživatelské účty, role a MFA v ScreenConnectu. Namísto toho kontroluje požadavky proti jednomu sdílenému přístupovému klíči uloženému v nastavení rozšíření. BleepingComputer a The Register uvádějí, že RMM+ ve verzích 1.0.31 a 1.0.32 obsahuje chybu: pokud není nakonfigurován žádný přístupový klíč, přijmou prázdný. Útočníci tak mohli spouštět příkazy bez přihlášení do ScreenConnectu a bez průchodu MFA. Resetování hesel operátorů a zapnutí MFA proto nechrání instanci, na které je RMM+ stále povoleno. Zatím nebyla oznámena žádná opravená verze rozšíření.

• Ujistěte se, že RMM+ a související rozšíření jsou vypnuta na každé instanci, včetně místních serverů. ConnectWise je tam za vás vypnout nemůže.

• Prověřte historii svých Run Command příkazů a hledejte příkazy, které přišly přes RMM+, a to i tehdy, když vaše přihlašovací logy žádná podezřelá přihlášení nezobrazují.

• https://www.huntress.com/blog/sckit-worm-rogue-screenconnect

• https://www.bleepingcomputer.com/news/security/new-worm-like-sckit-malware-targets-msps-in-screenconnect-attacks/

• https://www.theregister.com/security/2026/11/12/hackers-exploiting-screenconnect-plugin-flaw-to-spread-malware-across-hundreds-of-pcs/5309361

• https://www.cybersecuritydive.com/news/connectwise-disables-third-party-extensions-cyberattack-ScreenConnect/874490/

Zdroje

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2026/11/screenconnect-attacks-target-at-least.html