ScreenConnect: támadók jogosulatlan klienseket és SCKit malware-t telepítenek 288 felügyelt végpontra

Mi történt

2026. november 12-én a ConnectWise öt harmadik féltől származó ScreenConnect-bővítményt letiltott a partnerkörnyezetekben. Ezt megelőző intézkedésként tette, miután jelentések érkeztek jogosulatlan hozzáférésekről. A ConnectWise szerint nem talált sebezhetőséget a ScreenConnect szoftverben, és saját infrastruktúrája sem sérült meg. Első megállapítása szerint egy fenyegetést jelentő szereplő független, partnerkörnyezetekbe telepített harmadik féltől származó bővítményeket használhat ki. A támadók behatolásának módja és a teljes kiterjedés vizsgálata még folyamatban van.

A Huntress is nyomon követi a tevékenységet, amelyet először 2026. november 11-én, körülbelül 17:47 UTC-kor észlelt. A Huntress szerint a támadók a felhőben üzemeltetett ScreenConnect-panelekhez való hozzáférésükkel Run parancsokat küldtek. Ezek a parancsok legalább 48 szervezet legalább 288 felügyelt végpontjára telepítettek jogosulatlan ScreenConnect-klienseket. A Huntress nem talált új sebezhetőségre utaló bizonyítékot. Jelenlegi adatai szerint a behatolás módja ellopott hitelesítő adatok vagy eltérített operátori munkamenetek lehetnek.

A jogosulatlan kliensek az SCKit nevű, egyedi fejlesztésű rosszindulatú eszközkészletet telepítik. Ez akkor is fenntartja a távoli hozzáférést, ha az eredeti panel már nem érhető el. Emellett Microsoft Defender-kivételeket ad hozzá, telepít egy második, támadók által irányított ScreenConnect-klienst, létrehoz egy „TrapWatch” nevű ütemezett feladatot, és a legitim ScreenConnect-telepítést egy támadók által módosított példányra cserélheti.

A Huntress elemezte a payloadokat, és olyan kódot talált, amelynek célja a további terjedés. Amikor egy technikus csatlakozik egy fertőzött végponthoz, a kód ellopja a .aspxauth munkamenetsütit a technikus munkaállomásáról. Ezután ezt a sütit más panelekhez használná, és a Shared Toolbox segítségével minden elérhető munkamenetre payloadot juttatna. A Huntress szerint ez a terjedés még nem volt sikeres. A Sophos külön jelentette a jogosulatlan ScreenConnect-kliensek telepítését, amely ugyanezt a mintát követi.

Kit érint

A probléma azokat a szervezeteket érinti, amelyek a ConnectWise ScreenConnect szoftverrel kezelik végpontjaikat és szervereiket, elsősorban MSP-ket és IT-szolgáltatókat. Az eddig látott támadások felhőben üzemeltetett ScreenConnect-paneleket érintettek. A ConnectWise körülbelül 400 olyan partnerkörnyezetet azonosított, amelyben legalább egy ilyen bővítmény telepítve van:

• Labtech Plus
• RMM Plus
• RMM+
• RMM Plus Password Link
• RMM+ Password Link

Ezek a bővítmények olyan API-t biztosítanak, amely távoli parancsokat tud futtatni. Ehhez való hozzáférést a partner által a telepítés során beállított jelmondat védi. A ConnectWise hangsúlyozza, hogy valamelyik bővítmény telepítése önmagában nem jelenti azt, hogy a rendszere kompromittálódott. ScreenConnect-sebezhetőséget eddig nem azonosítottak, ezért nincs telepítendő javítás. A Huntress megjegyezte, hogy a támadók sorszámozzák a megtámadott MSP-ket, és az általa látott számozás nem nulláról indul. Más MSP-k tehát korábban is érintettek lehettek. Ezért a Huntress minden ScreenConnect-felhasználónak azt javasolja, hogy ellenőrizze a Run Command előzményeit, akkor is, ha nem kapott riasztást.

Mit tegyen most

1. Ha helyszíni ScreenConnect-telepítést üzemeltet, tiltsa le a fent felsorolt öt bővítményt, ahogy a ConnectWise kéri. Ne kapcsolja vissza őket, amíg a ConnectWise biztonságosnak nem minősíti azokat.
2. Ellenőrizze, hogy a biztonsági védelmi megoldásai (EDR, víruskereső) futnak-e a technikusok munkaállomásain és a felügyelt végpontokon. Keressen olyan Microsoft Defender-kivételeket, amelyeket a csapatában senki sem adott hozzá.
3. Mielőtt bármit módosítana, mentse el a ScreenConnect audit- és munkamenet-naplóit, valamint minden más olyan naplót, amely gyanús tevékenységet mutat.
4. Állítsa vissza a ScreenConnect-operátorok összes jelszavát, zárja le az aktív operátori munkameneteket, és győződjön meg arról, hogy minden fiókon be van kapcsolva a többtényezős hitelesítés. Változtassa meg a bővítmény-API-k jelmondatait.
5. Tekintse át az adminisztrátori fiókokat és jogosultságokat minden panelen. Távolítsa el azokat a fiókokat és jogosultságokat, amelyeket nem tud megmagyarázni.
6. Tekintsen minden olyan végpontot kompromittáltnak, amelyen jogosulatlan ScreenConnect-kliens vagy SCKit-nyom található. Izolálja és vizsgálja ki. Mielőtt ismét megbízna benne, tisztítsa meg vagy építse újra. Ellenőrizze azoknak a technikusoknak a munkaállomásait is, akik csatlakoztak hozzá.

Hogyan ellenőrizheti, érintett-e

• Nézze át a ScreenConnect-panelek Run Command előzményeit olyan parancsok után kutatva, amelyeket a csapatában senki sem futtatott, különösen 2026. november 11-e óta. Keressen váratlan bővítménytelepítéseket, Toolbox-tevékenységet és Shared Toolbox-elemeket is.
• Keressen szokatlan helyekről érkező bejelentkezéseket, ismétlődő sikertelen belépéseket, váratlan MFA-kéréseket, új adminisztrátori fiókokat és jogosultságváltozásokat.
• A végpontokon keresse azokat a ScreenConnect-klienseket, amelyek nem az Ön saját példányához tartoznak, valamint azokat a távoli hozzáférési szoftvereket, amelyeket nem hagyott jóvá. A Sophos a tevékenységet a d905b2b1b165d0a9, 4b8f4089ddaac6a9 és df1f7ef0cfacd0d8 ScreenConnect-példány-azonosítókhoz, valamint a további 2588ef5c15954b10 és ed630cc2c873b091 példány-azonosítókhoz kapcsolta.
• A végpontokon keressen „TrapWatch” nevű ütemezett feladatot, valamint az alábbi fájlokat: sckit-run.bat, sckit-decoder.ps1, TrapWatch.ps1, Panel-Lateral.ps1, Run-Lateral-Full.bat, runnew.cmd, ToolboxRelayUploader.exe és Sqlite3.exe. A Sophos azt is megfigyelte, hogy a curl.exe letöltötte a ScreenConnect.ClientSetup.msi fájlt a C:\Windows\TEMP\sc.msi helyre, amelyet az msiexec.exe ezután csendben telepített.
• Tűzfal-, proxy- és DNS-naplókban keresse a 185.99.255[.]28 és 155.94.150[.]39 IP-címeket. Keressen továbbá ezekre a domainekre is: ns[.]mo7sen[.]dev (beleértve a /EadF.php?p=4 útvonalat), sc[.]payproofkit[.]com, cdn007-digitaldownloads[.]com, newnewnew[.]gotdns[.]org és Soxnewwork[.]homedns[.]org.
• Figyeljen váratlan támogatási kérésekre, jelszó-visszaállítási üzenetekre és olyan szoftverletöltésekre, amelyek olyan csatornán érkeznek, amelyben általában megbízik.

Ha ezen indikátorok bármelyikét találja, jelentse azokat a ConnectWise-nak, és tekintse kompromittáltnak az érintett paneleket, technikusi munkaállomásokat és végpontokat.

Frissítés: 2026. november 14.

A kutatók most valószínű magyarázatot találtak arra, hogyan jutottak be a támadók. A Huntress szerint az RMM+ bővítmény megkerüli a ScreenConnect felhasználói fiókjait, szerepköreit és a többtényezős hitelesítést (MFA). Ehelyett a kéréseket egyetlen, a bővítmény beállításaiban tárolt közös hozzáférési kulcs alapján ellenőrzi. A BleepingComputer és a The Register beszámolói szerint az RMM+ 1.0.31 és 1.0.32 verziójában hiba van: ha nincs hozzáférési kulcs beállítva, üres kulcsot is elfogadnak. Ez lehetővé tette a támadók számára, hogy a ScreenConnectbe való bejelentkezés és az MFA megkerülése nélkül futtassanak parancsokat. Az üzemeltetői jelszavak visszaállítása és az MFA bekapcsolása ezért nem védi azt a példányt, amelyen az RMM+ még engedélyezve van. A bővítmény javított verzióját még nem jelentették be.

• Győződjön meg arról, hogy az RMM+ és a kapcsolódó bővítmények minden példányon le vannak tiltva, beleértve a helyszíni szervereket is. A ConnectWise ezeket ott nem tudja Ön helyett letiltani.

• Tekintse át a Run Command előzményeit, és keressen az RMM+ révén érkezett parancsokat akkor is, ha a bejelentkezési naplók nem mutatnak gyanús belépéseket.

• https://www.huntress.com/blog/sckit-worm-rogue-screenconnect

• https://www.bleepingcomputer.com/news/security/new-worm-like-sckit-malware-targets-msps-in-screenconnect-attacks/

• https://www.theregister.com/security/2026/11/12/hackers-exploiting-screenconnect-plugin-flaw-to-spread-malware-across-hundreds-of-pcs/5309361

• https://www.cybersecuritydive.com/news/connectwise-disables-third-party-extensions-cyberattack-ScreenConnect/874490/

Források

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2026/11/screenconnect-attacks-target-at-least.html