ScreenConnect: hyökkääjät levittävät luvattomia asiakasohjelmia ja SCKit-haittaohjelmaa vähintään 288 hallittuun päätelaitteeseen

Mitä tapahtui

Kesäkuussa 2026 ConnectWise poisti varotoimena käytöstä viisi kolmannen osapuolen ScreenConnect-laajennusta partneriympäristöissä. Se teki näin luvattomien käyttöoikeuksien raporttien jälkeen. ConnectWise sanoo, ettei se ole löytänyt ScreenConnect-ohjelmistosta haavoittuvuutta eikä omassa infrastruktuurissaan vaarantumista. Sen ensimmäisen arvion mukaan uhkatoimija saattaa hyödyntää itsenäisiä kolmannen osapuolen laajennuksia, jotka on asennettu partneriympäristöihin. Hyökkääjien sisäänpääsytapa ja koko laajuus ovat yhä selvitettävänä.

Huntress seuraa myös toimintaa, jonka se havaitsi ensimmäisen kerran 11. marraskuuta 2026 noin klo 17.47 UTC. Huntressin mukaan hyökkääjät käyttivät pilvessä isännöityjen ScreenConnect-paneelien käyttöoikeuksia lähettääkseen Run-komentoja. Komennot asensivat luvattomia ScreenConnect-asiakasohjelmia vähintään 288 hallittuun päätelaitteeseen 48 organisaatiossa. Huntress ei ole nähnyt todisteita uudesta haavoittuvuudesta. Sen nykyiset tiedot viittaavat varastettuihin tunnuksiin tai kaapattuihin operaattoriistuntoihin sisäänpääsyn keinona.

Luvattomat asiakasohjelmat toimittavat SCKitin, räätälöidyn haittatyökalupaketin. Se pitää etäyhteyden auki myös ilman alkuperäistä paneelia. Lisäksi se lisää Microsoft Defenderin poikkeuksia, asentaa toisen hyökkääjän hallitseman ScreenConnect-asiakasohjelman, luo ajoitetun tehtävän nimeltä "TrapWatch" ja voi korvata laillisen ScreenConnect-asennuksen hyökkääjän kopiolla.

Huntress analysoi hyötykuormat ja löysi koodin, joka on tarkoitettu leviämään edelleen. Kun teknikko yhdistää saastuneeseen päätelaitteeseen, koodi varastaisi teknikon työasemalta .aspxauth-istuntoevästeen. Sitä käytettäisiin sitten muissa paneeleissa, ja hyötykuorma työnnettäisiin jaetun työkalupakin kautta jokaiseen tavoitettavissa olevaan istuntoon. Huntress kertoo, ettei se ole vielä nähnyt leviämisen onnistuvan. Sophos on raportoinut erikseen luvattomista ScreenConnect-asiakasohjelmien asennuksista, jotka noudattavat samaa kaavaa.

Keitä asia koskee

Tämä koskee organisaatioita, jotka käyttävät ConnectWise ScreenConnectia päätelaitteiden ja palvelimien hallintaan, pääasiassa MSP-palveluntarjoajia ja IT-palveluntarjoajia. Tähän mennessä nähdyt hyökkäykset kohdistuivat pilvessä isännöityihin ScreenConnect-paneeleihin. ConnectWise on löytänyt noin 400 partneriympäristöä, joissa on asennettuna vähintään yksi näistä laajennuksista:

• Labtech Plus
• RMM Plus
• RMM+
• RMM Plus Password Link
• RMM+ Password Link

Nämä laajennukset tarjoavat rajapinnan, jolla voi suorittaa etäkomentoja. Pääsyä suojaa salasana, jonka partneri asettaa käyttöönoton yhteydessä. ConnectWise korostaa, että laajennuksen asentaminen ei tarkoita, että olet vaarantunut. ScreenConnectista ei ole tunnistettu haavoittuvuutta, joten korjauspäivitystä ei ole asennettavana. Huntress huomautti, että hyökkääjät numeroivat vaarantuneet MSP-palveluntarjoajat peräkkäin ja havaitut numerot alkavat keskeltä. Muita MSP-palveluntarjoajia on siis voitu osua aiemmin. Siksi Huntress neuvoo kaikkia ScreenConnectin käyttäjiä tarkistamaan Run Command -historiansa, vaikka hälytyksiä ei olisi tullut.

Mitä kannattaa tehdä nyt

1. Jos käytät ScreenConnectia omassa palvelimessasi, poista käytöstä yllä luetellut viisi laajennusta, kuten ConnectWise pyytää. Älä ota niitä takaisin käyttöön ennen kuin ConnectWise ilmoittaa, että se on turvallista.
2. Varmista, että tietoturvaohjelmistot (EDR, virustorjunta) ovat käynnissä teknikoiden työasemilla ja hallituissa päätelaitteissa. Tarkista Microsoft Defenderin poikkeukset, joita kukaan tiimistäsi ei ole lisännyt.
3. Säilytä ScreenConnectin tarkastus- ja istuntolokit sekä muut lokit, jotka näyttävät epäilyttävää toimintaa, ennen kuin muutat mitään.
4. Nollaa kaikkien ScreenConnect-operaattoreiden salasanat, päätä aktiiviset operaattoriistunnot ja varmista, että monivaiheinen tunnistautuminen on päällä jokaisella tilillä. Vaihda laajennusten rajapintojen salasanat.
5. Tarkista ylläpitäjätilit ja oikeudet jokaisessa paneelissa. Poista tilit ja oikeudet, joita et pysty selittämään.
6. Käsittele jokaista päätelaitetta, jossa on luvaton ScreenConnect-asiakasohjelma tai SCKit-jäänteitä, vaarantuneena. Eristä se ja tutki. Puhdista tai asenna uudelleen ennen kuin luotat siihen taas. Tarkista myös sen yhteydessä olleiden teknikoiden työasemat.

Miten tarkistat, onko sinua osuttu

• Tarkista ScreenConnect-paneelien Run Command -historia komennoista, joita tiimisi ei ole ajanut, erityisesti 11. marraskuuta 2026 alkaen. Etsi myös odottamattomia laajennusasennuksia, Toolbox-toimintaa ja jaettuja työkalupakin kohteita.
• Etsi kirjautumisia epätavallisista sijainneista, toistuvia epäonnistuneita kirjautumisia, odottamattomia MFA-kehotteita, uusia ylläpitäjätilejä ja oikeuksien muutoksia.
• Etsi päätelaitteilta ScreenConnect-asiakasohjelmia, jotka eivät kuulu omaan instanssiisi, sekä muita etäyhteysohjelmia, joita et ole hyväksynyt. Sophos yhdisti toiminnan ScreenConnect-instanssitunnuksiin d905b2b1b165d0a9, 4b8f4089ddaac6a9 ja df1f7ef0cfacd0d8 sekä lisätunnuksiin 2588ef5c15954b10 ja ed630cc2c873b091.
• Etsi päätelaitteilta ajoitettua tehtävää nimeltä "TrapWatch" ja seuraavia tiedostoja: sckit-run.bat, sckit-decoder.ps1, TrapWatch.ps1, Panel-Lateral.ps1, Run-Lateral-Full.bat, runnew.cmd, ToolboxRelayUploader.exe ja Sqlite3.exe. Sophos näki myös, että curl.exe latasi tiedoston ScreenConnect.ClientSetup.msi kohteeseen C:\Windows\TEMP\sc.msi, jonka msiexec.exe asensi hiljaisesti.
• Etsi palomuurin, välityspalvelimen ja DNS-lokeista IP-osoitteet 185.99.255[.]28 ja 155.94.150[.]39. Etsi myös seuraavat verkkotunnukset: ns[.]mo7sen[.]dev (mukaan lukien polku /EadF.php?p=4), sc[.]payproofkit[.]com, cdn007-digitaldownloads[.]com, newnewnew[.]gotdns[.]org ja Soxnewwork[.]homedns[.]org.
• Varo odottamattomia tukipyyntöjä, salasanan palautusviestejä ja ohjelmalatauksia, jotka tulevat kanavasta, jota normaalisti luotat.

Jos löydät jonkin näistä indikaattoreista, ilmoita siitä ConnectWiselle ja käsittele vaikuttuneita paneeleita, teknikoiden työasemia ja päätelaitteita vaarantuneina.

Päivitys lauantai 14. marraskuuta 2026

Tutkijoilla on nyt todennäköinen selitys sille, miten hyökkääjät pääsivät sisään. Huntressin mukaan RMM+-laajennus ohittaa ScreenConnectin käyttäjätilit, roolit ja MFA:n. Sen sijaan se tarkistaa pyynnöt yhden jaetun käyttöavaimen perusteella, joka on tallennettu laajennuksen asetuksiin. BleepingComputer ja The Register kertovat, että RMM+-versioissa 1.0.31 ja 1.0.32 on virhe: jos käyttöavainta ei ole määritetty, ne hyväksyvät tyhjän avaimen. Tämän ansiosta hyökkääjät pystyivät suorittamaan komentoja kirjautumatta ScreenConnectiin ja ilman MFA:ta. Operaattorien salasanojen vaihtaminen ja MFA:n käyttöönotto eivät siis suojaa instanssia, jossa RMM+ on yhä käytössä. Laajennukselle ei ole vielä ilmoitettu korjattua versiota.

• Varmista, että RMM+ ja siihen liittyvät laajennukset on poistettu käytöstä jokaisella instanssilla, myös omissa palvelimissasi. ConnectWise ei voi poistaa niitä käytöstä puolestasi siellä.

• Tarkista Run Command -historiasi komennoista, jotka tulivat RMM+:n kautta, vaikka kirjautumislokisi eivät näyttäisi epäilyttäviä kirjautumisia.

• https://www.huntress.com/blog/sckit-worm-rogue-screenconnect

• https://www.bleepingcomputer.com/news/security/new-worm-like-sckit-malware-targets-msps-in-screenconnect-attacks/

• https://www.theregister.com/security/2026/11/12/hackers-exploiting-screenconnect-plugin-flaw-to-spread-malware-across-hundreds-of-pcs/5309361

• https://www.cybersecuritydive.com/news/connectwise-disables-third-party-extensions-cyberattack-ScreenConnect/874490/

Lähteet

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2026/11/screenconnect-attacks-target-at-least.html