ScreenConnect: angribere installerer uautoriserede klienter og SCKit-malware på 288 administrerede endpoints

Hvad skete der

Den 12. november 2026 deaktiverede ConnectWise fem tredjepartsudvidelser til ScreenConnect i partnermiljøer. Det skete som en forsigtighedsforanstaltning efter meldinger om uautoriseret adgang. ConnectWise oplyser, at de ikke har fundet nogen sårbarhed i ScreenConnect-softwaren og ingen kompromittering af deres egen infrastruktur. Deres første vurdering er, at en trusselsaktør muligvis misbruger uafhængige tredjepartsudvidelser, som er installeret i partnermiljøer. Hvordan angriberne kom ind, og det fulde omfang, undersøges stadig.

Huntress følger også aktiviteten, som de første gang opdagede den 11. november 2026 omkring kl. 17:47 UTC. Ifølge Huntress brugte angriberne adgang til cloud-hostede ScreenConnect-paneler til at sende Run-kommandoer. Disse kommandoer installerede uautoriserede ScreenConnect-klienter på mindst 288 administrerede endpoints i 48 organisationer. Huntress har ikke set tegn på en ny sårbarhed. Deres nuværende data peger på stjålne legitimationsoplysninger eller kaprede operatørsessioner som indgangsvej.

De uautoriserede klienter leverer SCKit, et brugerdefineret ondsindet værktøjssæt. Det holder fjernadgangen åben, selv uden det oprindelige panel. Det tilføjer desuden undtagelser i Microsoft Defender, installerer en ekstra ScreenConnect-klient styret af angriberne, opretter en planlagt opgave ved navn "TrapWatch" og kan erstatte den legitime ScreenConnect-installation med en kopi kontrolleret af angriberne.

Huntress analyserede payloads og fandt kode, der er beregnet til at sprede sig videre. Når en tekniker forbinder til et inficeret endpoint, vil koden stjæle .aspxauth-sessionscookien fra teknikerens arbejdsstation. Derefter bruger den cookien på andre paneler og sender et payload til alle tilgængelige sessioner via Shared Toolbox. Huntress siger, at de endnu ikke har set spredningen lykkes. Sophos har uafhængigt rapporteret uautoriserede ScreenConnect-klientinstallationer, som følger det samme mønster.

Hvem er berørt

Det påvirker organisationer, der bruger ConnectWise ScreenConnect til at administrere endpoints og servere, primært MSP'er og IT-serviceudbydere. De angreb, der er set indtil nu, brugte cloud-hostede ScreenConnect-paneler. ConnectWise har fundet omkring 400 partnermiljøer med mindst én af disse udvidelser installeret:

• Labtech Plus
• RMM Plus
• RMM+
• RMM Plus Password Link
• RMM+ Password Link

Disse udvidelser stiller et API til rådighed, som kan køre fjernkommandoer. Adgangen til det er beskyttet af en adgangskode, som partneren sætter op under opsætningen. ConnectWise understreger, at det at have en af disse udvidelser installeret ikke betyder, at du er kompromitteret. Der er ikke identificeret nogen sårbarhed i ScreenConnect, så der findes ingen patch at installere. Huntress har bemærket, at angriberne nummererer hver kompromitteret MSP i rækkefølge, og de numre, de har set, starter et sted midt i forløbet. Andre MSP'er kan derfor være ramt tidligere. Derfor anbefaler Huntress alle ScreenConnect-brugere at tjekke deres Run Command-historik, selv hvis de ikke har haft nogen alarmer.

Hvad du bør gøre nu

1. Hvis du kører ScreenConnect on-premises, så deaktiver de fem udvidelser ovenfor, som ConnectWise anmoder om. Slå dem ikke til igen, før ConnectWise siger, at det er sikkert.
2. Kontroller, at dine sikkerhedsværktøjer (EDR, antivirus) kører på teknikeres arbejdsstationer og på dine administrerede endpoints. Tjek for undtagelser i Microsoft Defender, som ingen på dit team har tilføjet.
3. Gem ScreenConnect-audit- og sessionslogs samt andre logs, der viser mistænkelig aktivitet, før du ændrer noget.
4. Nulstil adgangskoderne for alle ScreenConnect-operatører, afslut aktive operatørsessioner og sørg for, at multifaktorautentificering er slået til for hver konto. Skift adgangskoderne til alle udvidelses-API'er.
5. Gennemgå administratorkonti og rettigheder i hvert panel. Fjern konti og rettigheder, du ikke kan forklare.
6. Behandl ethvert endpoint med en uautoriseret ScreenConnect-klient eller SCKit-spor som kompromitteret. Isoler det og undersøg det. Ryd det op eller genopbyg det, før du igen stoler på det. Tjek også arbejdsstationerne for de teknikere, der har forbundet til det.

Sådan tjekker du, om du er ramt

• Gennemgå Run Command-historikken i dine ScreenConnect-paneler for kommandoer, som ingen på dit team har kørt, især siden 11. november 2026. Kig også efter uventede udvidelsesinstallationer, Toolbox-aktivitet og Shared Toolbox-elementer.
• Kig efter logins fra usædvanlige lokationer, gentagne fejlslagne logins, uventede MFA-forespørgsler, nye administratorkonti og rettighedsændringer.
• På endpoints skal du lede efter ScreenConnect-klienter, der ikke hører til din egen instans, og efter anden fjernadgangssoftware, du ikke har godkendt. Sophos har knyttet aktiviteten til ScreenConnect-instans-ID'erne d905b2b1b165d0a9, 4b8f4089ddaac6a9 og df1f7ef0cfacd0d8 og til de yderligere instans-ID'er 2588ef5c15954b10 og ed630cc2c873b091.
• Søg på endpoints efter en planlagt opgave ved navn "TrapWatch" og efter disse filer: sckit-run.bat, sckit-decoder.ps1, TrapWatch.ps1, Panel-Lateral.ps1, Run-Lateral-Full.bat, runnew.cmd, ToolboxRelayUploader.exe og Sqlite3.exe. Sophos så også curl.exe hente ScreenConnect.ClientSetup.msi til C:\Windows\TEMP\sc.msi, som msiexec.exe derefter installerede lydløst.
• Søg i firewall-, proxy- og DNS-logs efter IP-adresserne 185.99.255[.]28 og 155.94.150[.]39. Søg også efter disse domæner: ns[.]mo7sen[.]dev (inklusive stien /EadF.php?p=4), sc[.]payproofkit[.]com, cdn007-digitaldownloads[.]com, newnewnew[.]gotdns[.]org og Soxnewwork[.]homedns[.]org.
• Hold øje med uventede supportanmodninger, meddelelser om nulstilling af adgangskoder og softwaredownloads, der kommer via en kanal, du normalt stoler på.

Hvis du finder nogen af disse indikatorer, så rapporter dem til ConnectWise og behandl de berørte paneler, teknikeres arbejdsstationer og endpoints som kompromitterede.

Opdatering 14. november 2026

Forskerne har nu en sandsynlig forklaring på, hvordan angriberne kom ind. Ifølge Huntress springer RMM+-udvidelsen over ScreenConnects brugerkonti, roller og MFA. I stedet kontrollerer den forespørgsler mod én fælles adgangsnøgle, som er gemt i udvidelsens indstillinger. BleepingComputer og The Register rapporterer, at RMM+-versionerne 1.0.31 og 1.0.32 har en fejl: Hvis der ikke er konfigureret en adgangsnøgle, accepterer de en tom nøgle. Det gjorde det muligt for angriberne at køre kommandoer uden at logge ind i ScreenConnect og uden at passere MFA. At nulstille operatørernes adgangskoder og aktivere MFA beskytter derfor ikke en instans, hvor RMM+ stadig er aktiveret. Der er endnu ikke meddelt nogen rettet version af udvidelsen.

• Sørg for, at RMM+ og de relaterede udvidelser er deaktiveret på alle instanser, herunder lokale servere. ConnectWise kan ikke deaktivere dem for dig dér.

• Gennemgå din Run Command-historik for kommandoer, der kom via RMM+, selv hvis dine login-logs ikke viser mistænkelige logins.

• https://www.huntress.com/blog/sckit-worm-rogue-screenconnect

• https://www.bleepingcomputer.com/news/security/new-worm-like-sckit-malware-targets-msps-in-screenconnect-attacks/

• https://www.theregister.com/security/2026/11/12/hackers-exploiting-screenconnect-plugin-flaw-to-spread-malware-across-hundreds-of-pcs/5309361

• https://www.cybersecuritydive.com/news/connectwise-disables-third-party-extensions-cyberattack-ScreenConnect/874490/

Kilder

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2026/11/screenconnect-attacks-target-at-least.html