ScreenConnect: Angreifer verteilen eingeschleuste Clients und SCKit-Malware auf 288 verwaltete Endgeräte

Was passiert ist

Am 12. November 2026 hat ConnectWise fünf Erweiterungen von Drittanbietern für ScreenConnect in Partnerumgebungen deaktiviert. Dies geschah vorsorglich, nachdem Berichte über unautorisierte Zugriffe eingegangen waren. ConnectWise erklärt, dass es weder eine Schwachstelle in der ScreenConnect-Software noch eine Kompromittierung der eigenen Infrastruktur gefunden habe. Nach der ersten Einschätzung missbraucht ein Bedrohungsakteur möglicherweise unabhängige Erweiterungen von Drittanbietern, die in Partnerumgebungen installiert sind. Wie die Angreifer eingedrungen sind und wie groß der Vorfall tatsächlich ist, wird noch untersucht.

Auch Huntress beobachtet die Aktivität, die am 11. November 2026 gegen 17:47 UTC erstmals erkannt wurde. Laut Huntress nutzten die Angreifer den Zugang zu cloudgehosteten ScreenConnect-Panels, um Run-Befehle zu senden. Diese Befehle installierten eingeschleuste ScreenConnect-Clients auf mindestens 288 verwalteten Endgeräten in 48 Organisationen. Huntress hat keine Hinweise auf eine neue Schwachstelle gefunden. Die aktuellen Daten deuten auf gestohlene Zugangsdaten oder übernommene Operator-Sitzungen als Einfallstor hin.

Die eingeschleusten Clients installieren SCKit, ein eigens entwickeltes schädliches Werkzeugset. Es hält den Fernzugriff auch ohne das ursprüngliche Panel offen. Außerdem fügt es Ausnahmen für Microsoft Defender hinzu, installiert einen zweiten, von Angreifern kontrollierten ScreenConnect-Client, legt eine geplante Aufgabe mit dem Namen "TrapWatch" an und kann die legitime ScreenConnect-Installation durch eine von Angreifern kontrollierte Kopie ersetzen.

Huntress hat die Payloads analysiert und Code gefunden, der sich weiter verbreiten soll. Verbindet sich ein Techniker mit einem infizierten Endgerät, würde der Code das Sitzungscookie .aspxauth von der Workstation des Technikers stehlen. Anschließend würde er dieses Cookie auf anderen Panels verwenden und über die Shared Toolbox eine Payload an jede erreichbare Sitzung senden. Huntress zufolge wurde eine solche Verbreitung bisher nicht erfolgreich beobachtet. Sophos hat unabhängig davon unautorisierte Bereitstellungen von ScreenConnect-Clients gemeldet, die dem gleichen Muster folgen.

Wer betroffen ist

Betroffen sind Organisationen, die ConnectWise ScreenConnect zur Verwaltung von Endgeräten und Servern einsetzen, vor allem MSPs und IT-Dienstleister. Die bisher beobachteten Angriffe nutzten cloudgehostete ScreenConnect-Panels. ConnectWise hat rund 400 Partnerumgebungen identifiziert, in denen mindestens eine dieser Erweiterungen installiert ist:

• Labtech Plus
• RMM Plus
• RMM+
• RMM Plus Password Link
• RMM+ Password Link

Diese Erweiterungen stellen eine API bereit, über die Fernbefehle ausgeführt werden können. Der Zugriff darauf ist durch eine Passphrase geschützt, die der Partner bei der Einrichtung festlegt. ConnectWise betont, dass die Installation einer dieser Erweiterungen nicht bedeutet, dass Sie kompromittiert sind. Es wurde keine Schwachstelle in ScreenConnect identifiziert, daher gibt es auch keinen Patch zum Einspielen. Huntress hat festgestellt, dass die Angreifer die kompromittierten MSPs fortlaufend nummerieren und die bisher gesehenen Nummern nicht bei eins beginnen. Andere MSPs könnten also früher betroffen gewesen sein. Deshalb rät Huntress allen ScreenConnect-Nutzern, ihren Verlauf der Run-Befehle zu prüfen, auch wenn keine Warnmeldungen vorlagen.

Was Sie jetzt tun sollten

1. Wenn Sie ScreenConnect On-Premises betreiben, deaktivieren Sie die fünf oben genannten Erweiterungen, wie ConnectWise es empfiehlt. Aktivieren Sie sie erst wieder, wenn ConnectWise bestätigt, dass dies sicher ist.
2. Prüfen Sie, ob Ihre Sicherheitslösungen (EDR, Virenschutz) auf Techniker-Workstations und verwalteten Endgeräten laufen. Kontrollieren Sie, ob Ausnahmen für Microsoft Defender vorhanden sind, die niemand in Ihrem Team angelegt hat.
3. Sichern Sie die Audit- und Sitzungsprotokolle von ScreenConnect sowie alle weiteren Protokolle mit verdächtigen Aktivitäten, bevor Sie etwas ändern.
4. Setzen Sie die Passwörter aller ScreenConnect-Operatoren zurück, beenden Sie aktive Operator-Sitzungen und stellen Sie sicher, dass die Multi-Faktor-Authentifizierung für jedes Konto aktiv ist. Ändern Sie die Passphrasen aller Erweiterungs-APIs.
5. Überprüfen Sie Administratorkonten und Berechtigungen in jedem Panel. Entfernen Sie Konten und Rechte, die Sie nicht nachvollziehen können.
6. Behandeln Sie jeden Endpunkt mit einem eingeschleusten ScreenConnect-Client oder SCKit-Spuren als kompromittiert. Isolieren und untersuchen Sie ihn. Bereinigen oder neu aufsetzen Sie ihn, bevor Sie ihm wieder vertrauen. Prüfen Sie außerdem die Workstations der Techniker, die sich mit ihm verbunden haben.

So prüfen Sie, ob Sie betroffen sind

• Prüfen Sie in Ihren ScreenConnect-Panels den Verlauf der Run-Befehle auf Befehle, die niemand in Ihrem Team ausgeführt hat, insbesondere seit dem 11. November 2026. Achten Sie außerdem auf unerwartete Installationen von Erweiterungen, Toolbox-Aktivitäten und Einträge in der Shared Toolbox.
• Suchen Sie nach Anmeldungen von ungewöhnlichen Standorten, wiederholten fehlgeschlagenen Anmeldungen, unerwarteten MFA-Abfragen, neuen Administratorkonten und Berechtigungsänderungen.
• Suchen Sie auf Endgeräten nach ScreenConnect-Clients, die nicht zu Ihrer eigenen Instanz gehören, sowie nach anderer Fernzugriffssoftware, die Sie nicht genehmigt haben. Sophos hat die Aktivität mit den ScreenConnect-Instanz-IDs d905b2b1b165d0a9, 4b8f4089ddaac6a9 und df1f7ef0cfacd0d8 sowie den zusätzlichen Instanz-IDs 2588ef5c15954b10 und ed630cc2c873b091 in Verbindung gebracht.
• Suchen Sie auf Endgeräten nach einer geplanten Aufgabe mit dem Namen "TrapWatch" und nach diesen Dateien: sckit-run.bat, sckit-decoder.ps1, TrapWatch.ps1, Panel-Lateral.ps1, Run-Lateral-Full.bat, runnew.cmd, ToolboxRelayUploader.exe und Sqlite3.exe. Sophos hat außerdem beobachtet, dass curl.exe die Datei ScreenConnect.ClientSetup.msi nach C:\Windows\TEMP\sc.msi herunterlud, die msiexec.exe anschließend lautlos installierte.
• Durchsuchen Sie Firewall-, Proxy- und DNS-Protokolle nach den IP-Adressen 185.99.255[.]28 und 155.94.150[.]39. Suchen Sie außerdem nach diesen Domains: ns[.]mo7sen[.]dev (einschließlich des Pfads /EadF.php?p=4), sc[.]payproofkit[.]com, cdn007-digitaldownloads[.]com, newnewnew[.]gotdns[.]org und Soxnewwork[.]homedns[.]org.
• Achten Sie auf unerwartete Support-Anfragen, Nachrichten zum Zurücksetzen von Passwörtern und Software-Downloads, die über einen Kanal eingehen, dem Sie normalerweise vertrauen.

Wenn Sie einen dieser Indikatoren finden, melden Sie ihn an ConnectWise und behandeln Sie die betroffenen Panels, Techniker-Workstations und Endgeräte als kompromittiert.

Update vom 14. November 2026

Forscher haben nun eine wahrscheinliche Erklärung dafür, wie sich die Angreifer Zugang verschafft haben. Laut Huntress umgeht die Erweiterung RMM+ die Benutzerkonten, Rollen und MFA von ScreenConnect. Stattdessen prüft sie Anfragen anhand eines gemeinsamen Zugriffsschlüssels, der in den Einstellungen der Erweiterung gespeichert ist. BleepingComputer und The Register berichten, dass RMM+ in den Versionen 1.0.31 und 1.0.32 eine Schwachstelle aufweist: Ist kein Zugriffsschlüssel konfiguriert, akzeptieren sie einen leeren Schlüssel. Dadurch konnten Angreifer Befehle ausführen, ohne sich bei ScreenConnect anzumelden und ohne die MFA zu durchlaufen. Das Zurücksetzen der Operator-Passwörter und das Aktivieren von MFA schützt daher keine Instanz, auf der RMM+ noch aktiviert ist. Eine korrigierte Version der Erweiterung wurde bisher noch nicht angekündigt.

• Stellen Sie sicher, dass RMM+ und die zugehörigen Erweiterungen auf jeder Instanz deaktiviert sind, auch auf lokalen Servern. ConnectWise kann sie dort nicht für Sie deaktivieren.

• Prüfen Sie Ihren Run-Command-Verlauf auf Befehle, die über RMM+ eingegangen sind, auch dann, wenn Ihre Anmeldeprotokolle keine verdächtigen Anmeldungen zeigen.

• https://www.huntress.com/blog/sckit-worm-rogue-screenconnect

• https://www.bleepingcomputer.com/news/security/new-worm-like-sckit-malware-targets-msps-in-screenconnect-attacks/

• https://www.theregister.com/security/2026/11/12/hackers-exploiting-screenconnect-plugin-flaw-to-spread-malware-across-hundreds-of-pcs/5309361

• https://www.cybersecuritydive.com/news/connectwise-disables-third-party-extensions-cyberattack-ScreenConnect/874490/

Quellen

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2026/11/screenconnect-attacks-target-at-least.html