ScreenConnect: επιτιθέμενοι εξαπλώνουν κακόβουλους πελάτες και κακόβουλο λογισμικό SCKit σε 288 διαχειριζόμενα endpoints

Τι συνέβη

Στις 12 Νοεμβρίου 2026, η ConnectWise απενεργοποίησε πέντε επεκτάσεις ScreenConnect τρίτων σε περιβάλλοντα συνεργατών. Το έκανε προληπτικά, μετά από αναφορές για μη εξουσιοδοτημένη πρόσβαση. Η ConnectWise δηλώνει ότι δεν βρήκε ευπάθεια στο λογισμικό ScreenConnect ούτε παραβίαση της δικής της υποδομής. Η πρώτη εκτίμησή της είναι ότι ένας απειλητικός φορέας ενδέχεται να εκμεταλλεύεται ανεξάρτητες επεκτάσεις τρίτων εγκατεστημένες σε περιβάλλοντα συνεργατών. Ο τρόπος εισόδου των επιτιθέμενων και η πλήρης έκταση του περιστατικού εξακολουθούν να διερευνώνται.

Η Huntress παρακολουθεί επίσης τη δραστηριότητα, την οποία εντόπισε για πρώτη φορά στις 11 Νοεμβρίου 2026, περίπου στις 17:47 UTC. Σύμφωνα με την Huntress, οι επιτιθέμενοι χρησιμοποίησαν πρόσβαση σε πίνακες ScreenConnect που φιλοξενούνται στο cloud για να στείλουν εντολές Run. Οι εντολές αυτές εγκατέστησαν μη εξουσιοδοτημένους πελάτες ScreenConnect σε τουλάχιστον 288 διαχειριζόμενα endpoints σε 48 οργανισμούς. Η Huntress δεν έχει δει στοιχεία νέας ευπάθειας. Τα τρέχοντα δεδομένα της δείχνουν ότι η είσοδος έγινε μέσω κλεμμένων διαπιστευτηρίων ή υποκλεμμένων συνεδριών χειριστών.

Οι κακόβουλοι πελάτες εγκαθιστούν το SCKit, ένα προσαρμοσμένο κακόβουλο σύνολο εργαλείων. Διατηρεί την απομακρυσμένη πρόσβαση ανοιχτή ακόμα και χωρίς τον αρχικό πίνακα. Επίσης προσθέτει εξαιρέσεις στο Microsoft Defender, εγκαθιστά δεύτερο πελάτη ScreenConnect υπό έλεγχο των επιτιθέμενων, δημιουργεί προγραμματισμένη εργασία με το όνομα «TrapWatch» και μπορεί να αντικαταστήσει τη νόμιμη εγκατάσταση ScreenConnect με αντίγραφο υπό έλεγχο των επιτιθέμενων.

Η Huntress ανέλυσε τα payloads και βρήκε κώδικα σχεδιασμένο για περαιτέρω εξάπλωση. Όταν ένας τεχνικός συνδέεται σε μολυσμένο endpoint, ο κώδικας κλέβει το cookie συνεδρίας .aspxauth από τον σταθμό εργασίας του τεχνικού. Στη συνέχεια χρησιμοποιεί το cookie σε άλλους πίνακες και στέλνει payload σε κάθε προσβάσιμη συνεδρία μέσω του Shared Toolbox. Η Huntress λέει ότι δεν έχει δει ακόμα επιτυχή εξάπλωση. Η Sophos έχει αναφέρει ξεχωριστά μη εξουσιοδοτημένες εγκαταστάσεις πελατών ScreenConnect που ακολουθούν το ίδιο μοτίβο.

Ποιοι επηρεάζονται

Επηρεάζονται οργανισμοί που χρησιμοποιούν το ConnectWise ScreenConnect για τη διαχείριση endpoints και servers, κυρίως MSP και παρόχους υπηρεσιών IT. Οι επιθέσεις που έχουν παρατηρηθεί μέχρι τώρα αφορούσαν πίνακες ScreenConnect που φιλοξενούνται στο cloud. Η ConnectWise έχει εντοπίσει περίπου 400 περιβάλλοντα συνεργατών με τουλάχιστον μία από αυτές τις επεκτάσεις εγκατεστημένη:

• Labtech Plus
• RMM Plus
• RMM+
• RMM Plus Password Link
• RMM+ Password Link

Οι επεκτάσεις αυτές παρέχουν ένα API που μπορεί να εκτελεί απομακρυσμένες εντολές. Η πρόσβαση σε αυτό προστατεύεται από φράση πρόσβασης (passphrase) που ορίζει ο συνεργάτης κατά τη ρύθμιση. Η ConnectWise τονίζει ότι η ύπαρξη μίας από αυτές τις επεκτάσεις δεν σημαίνει ότι έχεις παραβιαστεί. Δεν έχει εντοπιστεί ευπάθεια στο ScreenConnect, οπότε δεν υπάρχει διορθωτικό patch για εγκατάσταση. Η Huntress σημείωσε ότι οι επιτιθέμενοι αριθμούν διαδοχικά κάθε παραβιασμένο MSP, και οι αριθμοί που έχει δει ξεκινούν από κάποιο σημείο και μετά. Άλλα MSP μπορεί συνεπώς να έχουν δεχτεί επίθεση νωρίτερα. Γι' αυτό η Huntress συμβουλεύει όλους τους χρήστες ScreenConnect να ελέγξουν το ιστορικό Run Command τους, ακόμα κι αν δεν έχουν λάβει ειδοποιήσεις.

Τι να κάνεις τώρα

1. Αν χρησιμοποιείς ScreenConnect on-premises, απενεργοποίησε τις πέντε επεκτάσεις που αναφέρονται παραπάνω, όπως ζητά η ConnectWise. Μην τις ενεργοποιήσεις ξανά μέχρι η ConnectWise να ανακοινώσει ότι είναι ασφαλές.
2. Έλεγξε ότι τα μέτρα ασφαλείας σου (EDR, antivirus) λειτουργούν στους σταθμούς εργασίας των τεχνικών και στα διαχειριζόμενα endpoints. Έλεγξε για εξαιρέσεις του Microsoft Defender που δεν πρόσθεσε κανείς στην ομάδα σου.
3. Διατήρησε τα αρχεία καταγραφής ελέγχου και συνεδριών του ScreenConnect, καθώς και όποια άλλα logs δείχνουν ύποπτη δραστηριότητα, πριν αλλάξεις οτιδήποτε.
4. Άλλαξε τους κωδικούς όλων των χειριστών ScreenConnect, τερμάτισε τις ενεργές συνεδρίες χειριστών και βεβαιώσου ότι το πολυπαραγοντικό έλεγχος ταυτότητας (MFA) είναι ενεργό για κάθε λογαριασμό. Άλλαξε τις φράσεις πρόσβασης σε όλα τα API των επεκτάσεων.
5. Ελέγξε τους λογαριασμούς διαχειριστών και τα δικαιώματα σε κάθε πίνακα. Αφαίρεσε λογαριασμούς και δικαιώματα που δεν μπορείς να εξηγήσεις.
6. Θεώρησε ως παραβιασμένο κάθε endpoint με κακόβουλο πελάτη ScreenConnect ή ίχνη SCKit. Απομόνωσέ το και διερεύνησέ το. Καθάρισέ το ή επανεγκατάστησέ το πριν το εμπιστευτείς ξανά. Έλεγξε επίσης τους σταθμούς εργασίας των τεχνικών που συνδέθηκαν σε αυτό.

Πώς να ελέγξεις αν επηρεάστηκες

• Έλεγξε το ιστορικό Run Command στους πίνακες ScreenConnect για εντολές που δεν εκτέλεσε κανένας από την ομάδα σου, ειδικά από τις 11 Νοεμβρίου 2026 και μετά. Κοίταξε επίσης για απροσδόκητες εγκαταστάσεις επεκτάσεων, δραστηριότητα Toolbox και στοιχεία Shared Toolbox.
• Αναζήτησε συνδέσεις από ασυνήθιστες τοποθεσίες, επαναλαμβανόμενες αποτυχημένες συνδέσεις, απρόσμενα αιτήματα MFA, νέους λογαριασμούς διαχειριστών και αλλαγές δικαιωμάτων.
• Στα endpoints, αναζήτησε πελάτες ScreenConnect που δεν ανήκουν στο δικό σου instance και άλλο λογισμικό απομακρυσμένης πρόσβασης που δεν έχεις εγκρίνει. Η Sophos συνέδεσε τη δραστηριότητα με τα ScreenConnect instance IDs d905b2b1b165d0a9, 4b8f4089ddaac6a9 και df1f7ef0cfacd0d8, και με τα επιπλέον instance IDs 2588ef5c15954b10 και ed630cc2c873b091.
• Αναζήτησε στα endpoints προγραμματισμένη εργασία με το όνομα «TrapWatch» και τα παρακάτω αρχεία: sckit-run.bat, sckit-decoder.ps1, TrapWatch.ps1, Panel-Lateral.ps1, Run-Lateral-Full.bat, runnew.cmd, ToolboxRelayUploader.exe και Sqlite3.exe. Η Sophos είδε επίσης το curl.exe να κατεβάζει το ScreenConnect.ClientSetup.msi στο C:\Windows\TEMP\sc.msi, το οποίο στη συνέχεια εγκαταστάθηκε σιωπηλά από το msiexec.exe.
• Αναζήτησε στα αρχεία καταγραφής firewall, proxy και DNS τις διευθύνσεις IP 185.99.255[.]28 και 155.94.150[.]39. Αναζήτησε επίσης τα παρακάτω domains: ns[.]mo7sen[.]dev (συμπεριλαμβανομένης της διαδρομής /EadF.php?p=4), sc[.]payproofkit[.]com, cdn007-digitaldownloads[.]com, newnewnew[.]gotdns[.]org και Soxnewwork[.]homedns[.]org.
• Πρόσεξε απρόσμενα αιτήματα υποστήριξης, μηνύματα επαναφοράς κωδικού και λήψεις λογισμικού που έρχονται από κανάλι που συνήθως εμπιστεύεσαι.

Αν βρεις οποιοδήποτε από αυτά τα ενδεικτικά στοιχεία, ανέφερέ τα στην ConnectWise και θεώρησε τους επηρεαζόμενους πίνακες, τους σταθμούς εργασίας των τεχνικών και τα endpoints ως παραβιασμένα.

Ενημέρωση 14 Νοεμβρίου 2026

Οι ερευνητές έχουν πλέον μια πιθανή εξήγηση για το πώς μπήκαν οι επιτιθέμενοι. Σύμφωνα με την Huntress, η επέκταση RMM+ παρακάμπτει τους λογαριασμούς χρηστών, τους ρόλους και το MFA του ScreenConnect. Αντί για αυτά, ελέγχει τα αιτήματα έναντι ενός κοινού κλειδιού πρόσβασης που είναι αποθηκευμένο στις ρυθμίσεις της επέκτασης. Τα BleepingComputer και The Register αναφέρουν ότι οι εκδόσεις 1.0.31 και 1.0.32 του RMM+ έχουν ένα σφάλμα: αν δεν έχει ρυθμιστεί κανένα κλειδί πρόσβασης, δέχονται ένα κενό. Αυτό επέτρεψε στους επιτιθέμενους να εκτελούν εντολές χωρίς να συνδεθούν στο ScreenConnect και χωρίς να περάσουν από το MFA. Επομένως, η επαναφορά των κωδικών των χειριστών και η ενεργοποίηση του MFA δεν προστατεύουν ένα στιγμιότυπο όπου το RMM+ είναι ακόμα ενεργοποιημένο. Δεν έχει ανακοινωθεί ακόμη κάποια διορθωμένη έκδοση της επέκτασης.

• Βεβαιώσου ότι το RMM+ και οι σχετικές επεκτάσεις είναι απενεργοποιημένες σε κάθε στιγμιότυπο, συμπεριλαμβανομένων των διακομιστών on-premises. Η ConnectWise δεν μπορεί να τις απενεργοποιήσει εκεί για σένα.

• Έλεγξε το ιστορικό των Run Command σου για εντολές που πέρασαν από το RMM+, ακόμη κι αν τα αρχεία σύνδεσης δεν δείχνουν ύποπτες συνδέσεις.

• https://www.huntress.com/blog/sckit-worm-rogue-screenconnect

• https://www.bleepingcomputer.com/news/security/new-worm-like-sckit-malware-targets-msps-in-screenconnect-attacks/

• https://www.theregister.com/security/2026/11/12/hackers-exploiting-screenconnect-plugin-flaw-to-spread-malware-across-hundreds-of-pcs/5309361

• https://www.cybersecuritydive.com/news/connectwise-disables-third-party-extensions-cyberattack-ScreenConnect/874490/

Πηγές

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2026/11/screenconnect-attacks-target-at-least.html