ScreenConnect: napadači šire lažne klijente i SCKit malware na 288 upravljanih krajnjih uređaja

Što se dogodilo

Dana 12. studenoga 2026. ConnectWise je onemogućio pet proširenja ScreenConnecta trećih strana u okruženjima partnera. Učinio je to kao mjeru opreza nakon izvještaja o neovlaštenom pristupu. ConnectWise tvrdi da nije pronašao nikakvu ranjivost u softveru ScreenConnect ni kompromitiranje vlastite infrastrukture. Njegova prva procjena je da prijetnja može zloupotrebljavati neovisna proširenja trećih strana instalirana u okruženjima partnera. Način na koji su napadači ušli i puni opseg incidenta još se istražuju.

Huntress također prati aktivnost, koju je prvi put otkrio 11. studenoga 2026. oko 17:47 UTC. Prema Huntressu, napadači su pristupom panelima ScreenConnecta u oblaku slali Run naredbe. Te su naredbe instalirale lažne ScreenConnect klijente na najmanje 288 upravljanih krajnjih uređaja u 48 organizacija. Huntress nije uočio dokaze o novoj ranjivosti. Njegovi trenutni podaci upućuju na ukradene vjerodajnice ili preuzete sesije operatera kao način ulaska.

Lažni klijenti isporučuju SCKit, prilagođeni zlonamjerni alat. On održava udaljeni pristup otvorenim i kad nema izvornog panela. Također dodaje iznimke u Microsoft Defenderu, instalira drugi klijent ScreenConnecta pod kontrolom napadača, kreira zakazani zadatak naziva "TrapWatch" i može zamijeniti legitimnu instalaciju ScreenConnecta kopijom pod kontrolom napadača.

Huntress je analizirao korisni teret i pronašao kod namijenjen daljnjem širenju. Kad se tehničar spoji na zaraženi uređaj, kod bi ukrao kolačić sesije .aspxauth s tehničarevog radnog računala. Zatim bi taj kolačić koristio na drugim panelima i slao korisni teret svakoj dostupnoj sesiji putem Shared Toolboxa. Huntress navodi da još nije vidio uspješno širenje. Sophos je zasebno prijavio neovlaštene instalacije ScreenConnect klijenata koje slijede isti obrazac.

Tko je pogođen

Ovo se odnosi na organizacije koje koriste ConnectWise ScreenConnect za upravljanje krajnjim uređajima i poslužiteljima, uglavnom MSP-ove i pružatelje IT usluga. Dosad viđeni napadi koristili su panele ScreenConnecta u oblaku. ConnectWise je pronašao oko 400 okruženja partnera s barem jednim od ovih proširenja:

• Labtech Plus
• RMM Plus
• RMM+
• RMM Plus Password Link
• RMM+ Password Link

Ova proširenja pružaju API koji može izvršavati udaljene naredbe. Pristup mu štiti lozinka koju partner postavlja pri instalaciji. ConnectWise naglašava da instalacija jednog od ovih proširenja sama po sebi ne znači da ste kompromitirani. Nije utvrđena nijedna ranjivost ScreenConnecta, pa nema ni zakrpe za instalaciju. Huntress je primijetio da napadači redom numeriraju kompromitirane MSP-ove te da brojevi koje je vidio počinju od sredine niza. Drugi MSP-ovi su stoga možda bili pogođeni ranije. Zato Huntress savjetuje svim korisnicima ScreenConnecta da provjere povijest Run Command naredbi, čak i ako nisu imali upozorenja.

Što učiniti odmah

1. Ako koristite ScreenConnect lokalno, onemogućite pet gore navedenih proširenja, kako traži ConnectWise. Nemojte ih ponovno uključivati dok ConnectWise ne potvrdi da je to sigurno.
2. Provjerite rade li sigurnosne kontrole (EDR, antivirus) na radnim računalima tehničara i upravljanim krajnjim uređajima. Provjerite iznimke u Microsoft Defenderu koje nitko iz vašeg tima nije dodao.
3. Sačuvajte revizijske i sesijske zapise ScreenConnecta te sve druge zapise koji pokazuju sumnjivu aktivnost prije nego što išta promijenite.
4. Resetirajte lozinke svih ScreenConnect operatera, prekinite aktivne sesije operatera i provjerite je li višefaktorska autentikacija uključena za svaki račun. Promijenite lozinke za API-je svih proširenja.
5. Pregledajte administratorske račune i dozvole u svakom panelu. Uklonite račune i prava koja ne možete objasniti.
6. Svaki uređaj s lažnim ScreenConnect klijentom ili SCKit tragovima smatrajte kompromitiranim. Izolirajte ga i istražite. Očistite ga ili ponovno instalirajte prije nego mu ponovno vjerujete. Provjerite i radna računala tehničara koji su se spajali na taj uređaj.

Kako provjeriti jeste li pogođeni

• Pregledajte povijest Run Command naredbi u svojim ScreenConnect panelima tražeći naredbe koje nitko iz vašeg tima nije pokrenuo, osobito od 11. studenoga 2026. Također tražite neočekivane instalacije proširenja, aktivnost Toolboxa i stavke Shared Toolboxa.
• Tražite prijave s neuobičajenih lokacija, ponovljene neuspjele prijave, neočekivane zahtjeve za MFA, nove administratorske račune i promjene dozvola.
• Na uređajima tražite ScreenConnect klijente koji ne pripadaju vašoj instanci i drugi softver za udaljeni pristup koji niste odobrili. Sophos je aktivnost povezao s ID-jevima ScreenConnect instanci d905b2b1b165d0a9, 4b8f4089ddaac6a9 i df1f7ef0cfacd0d8 te s dodatnim ID-jevima instanci 2588ef5c15954b10 i ed630cc2c873b091.
• Na uređajima pretražite zakazani zadatak "TrapWatch" i sljedeće datoteke: sckit-run.bat, sckit-decoder.ps1, TrapWatch.ps1, Panel-Lateral.ps1, Run-Lateral-Full.bat, runnew.cmd, ToolboxRelayUploader.exe i Sqlite3.exe. Sophos je također uočio da je curl.exe preuzeo ScreenConnect.ClientSetup.msi u C:\Windows\TEMP\sc.msi, koji je zatim msiexec.exe tiho instalirao.
• U zapisima vatrozida, proxyja i DNS-a potražite IP adrese 185.99.255[.]28 i 155.94.150[.]39. Potražite i sljedeće domene: ns[.]mo7sen[.]dev (uključujući putanju /EadF.php?p=4), sc[.]payproofkit[.]com, cdn007-digitaldownloads[.]com, newnewnew[.]gotdns[.]org i Soxnewwork[.]homedns[.]org.
• Pazite na neočekivane zahtjeve za podršku, poruke o resetiranju lozinke i preuzimanja softvera koji stižu kanalom kojem inače vjerujete.

Ako pronađete bilo koji od ovih pokazatelja, prijavite ih ConnectWiseu i smatrajte zahvaćene panele, radna računala tehničara i uređaje kompromitiranima.

Ažuriranje 14. studenoga 2026.

Istraživači sada imaju vjerojatno objašnjenje za to kako su napadači ušli. Prema Huntressu, dodatak RMM+ zaobilazi korisničke račune, uloge i MFA programa ScreenConnect. Umjesto toga, provjerava zahtjeve prema jednom zajedničkom pristupnom ključu pohranjenom u postavkama dodatka. BleepingComputer i The Register izvještavaju da verzije RMM+ 1.0.31 i 1.0.32 imaju propust: ako pristupni ključ nije konfiguriran, prihvaćaju prazan ključ. To je napadačima omogućilo izvršavanje naredbi bez prijave u ScreenConnect i bez prolaska kroz MFA. Stoga resetiranje lozinki operatera i uključivanje MFA-a ne štiti instancu na kojoj je RMM+ i dalje omogućen. Popravljena verzija dodatka još nije najavljena.

• Provjerite jesu li RMM+ i povezani dodaci onemogućeni na svakoj instanci, uključujući lokalne poslužitelje. ConnectWise ih tamo ne može onemogućiti umjesto vas.

• Pregledajte povijest naredbi Run Command u potrazi za naredbama koje su stigle putem RMM+-a, čak i ako vaši zapisi prijava ne pokazuju sumnjive prijave.

• https://www.huntress.com/blog/sckit-worm-rogue-screenconnect

• https://www.bleepingcomputer.com/news/security/new-worm-like-sckit-malware-targets-msps-in-screenconnect-attacks/

• https://www.theregister.com/security/2026/11/12/hackers-exploiting-screenconnect-plugin-flaw-to-spread-malware-across-hundreds-of-pcs/5309361

• https://www.cybersecuritydive.com/news/connectwise-disables-third-party-extensions-cyberattack-ScreenConnect/874490/

Izvori

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2026/11/screenconnect-attacks-target-at-least.html