ScreenConnect: aggressori distribuiscono client abusivi e malware SCKit su 288 endpoint gestiti

Cosa è successo

Il 12 novembre 2026 ConnectWise ha disattivato cinque estensioni ScreenConnect di terze parti negli ambienti dei partner. Si tratta di una misura precauzionale, adottata dopo le segnalazioni di accessi non autorizzati. ConnectWise afferma di non aver trovato vulnerabilità nel software ScreenConnect né compromissioni della propria infrastruttura. La sua prima valutazione è che un attore malevolo possa abusare di estensioni indipendenti di terze parti installate negli ambienti dei partner. Le modalità di accesso degli aggressori e la portata completa dell'incidente sono ancora in fase di analisi.

Anche Huntress sta monitorando l'attività, rilevata per la prima volta l'11 novembre 2026 intorno alle 17:47 UTC. Secondo Huntress, gli aggressori hanno utilizzato l'accesso ai pannelli ScreenConnect ospitati nel cloud per inviare comandi Run. Tali comandi hanno installato client ScreenConnect abusivi su almeno 288 endpoint gestiti in 48 organizzazioni. Huntress non ha rilevato alcuna nuova vulnerabilità. I dati attuali indicano come possibile via d'accesso credenziali rubate o sessioni di operatore dirottate.

I client abusivi distribuiscono SCKit, un toolkit malevolo personalizzato. Esso mantiene aperto l'accesso remoto anche senza il pannello originale. Inoltre aggiunge esclusioni a Microsoft Defender, installa un secondo client ScreenConnect controllato dagli aggressori, crea un'attività pianificata denominata "TrapWatch" e può sostituire l'installazione legittima di ScreenConnect con una copia controllata dagli aggressori.

Huntress ha analizzato i payload e ha individuato codice progettato per diffondersi ulteriormente. Quando un tecnico si connette a un endpoint infetto, il codice sottrae il cookie di sessione .aspxauth dalla workstation del tecnico. Quindi usa tale cookie su altri pannelli e invia un payload a ogni sessione raggiungibile tramite la Shared Toolbox. Huntress afferma di non aver ancora osservato il successo di questa diffusione. Anche Sophos ha segnalato installazioni non autorizzate di client ScreenConnect che seguono lo stesso schema.

Chi è interessato

Il problema riguarda le organizzazioni che utilizzano ConnectWise ScreenConnect per gestire endpoint e server, in particolare MSP e fornitori di servizi IT. Gli attacchi osservati finora hanno interessato pannelli ScreenConnect ospitati nel cloud. ConnectWise ha individuato circa 400 ambienti di partner con almeno una delle seguenti estensioni installata:

• Labtech Plus
• RMM Plus
• RMM+
• RMM Plus Password Link
• RMM+ Password Link

Queste estensioni forniscono un'API in grado di eseguire comandi remoti. L'accesso è protetto da una passphrase che il partner imposta durante la configurazione. ConnectWise sottolinea che la presenza di una di queste estensioni non significa che il sistema sia compromesso. Non è stata identificata alcuna vulnerabilità di ScreenConnect, quindi non esiste una patch da installare. Huntress ha osservato che gli aggressori numerano in sequenza gli MSP compromessi e che i numeri rilevati iniziano da un certo punto in poi. Altri MSP potrebbero quindi essere stati colpiti in precedenza. Per questo Huntress consiglia a tutti gli utenti di ScreenConnect di verificare la cronologia dei Run Command, anche in assenza di avvisi.

Cosa fare subito

1. Se utilizzate ScreenConnect on-premises, disattivate le cinque estensioni sopra elencate, come richiesto da ConnectWise. Non riattivatele finché ConnectWise non ne conferma la sicurezza.
2. Verificate che i controlli di sicurezza (EDR, antivirus) siano attivi sulle workstation dei tecnici e sugli endpoint gestiti. Controllate la presenza di esclusioni di Microsoft Defender non aggiunte dal vostro team.
3. Conservate i log di audit e di sessione di ScreenConnect, insieme a qualsiasi altro log che mostri attività sospette, prima di apportare qualsiasi modifica.
4. Reimpostate le password di tutti gli operatori ScreenConnect, terminate le sessioni attive degli operatori e assicuratevi che l'autenticazione a più fattori sia attiva per ogni account. Modificate le passphrase di tutte le API delle estensioni.
5. Verificate account amministratore e permessi in ogni pannello. Rimuovete gli account e i diritti che non siete in grado di giustificare.
6. Considerate compromesso qualsiasi endpoint con un client ScreenConnect abusivo o con artefatti di SCKit. Isolatelo e analizzatelo. Bonificatelo o ricostruitelo prima di tornare a fidarvi di esso. Verificate inoltre le workstation dei tecnici che vi si sono collegati.

Come verificare se siete stati colpiti

• Esaminate la cronologia dei Run Command nei pannelli ScreenConnect alla ricerca di comandi che nessuno del vostro team ha eseguito, in particolare dal 11 novembre 2026. Cercate anche installazioni di estensioni inattese, attività di Toolbox ed elementi della Shared Toolbox.
• Cercate accessi da posizioni insolite, tentativi di accesso falliti ripetuti, richieste MFA inattese, nuovi account amministratore e modifiche ai permessi.
• Sugli endpoint, cercate client ScreenConnect che non appartengono alla vostra istanza e altro software di accesso remoto non approvato. Sophos ha collegato l'attività agli ID istanza ScreenConnect d905b2b1b165d0a9, 4b8f4089ddaac6a9 e df1f7ef0cfacd0d8, e agli ID istanza aggiuntivi 2588ef5c15954b10 e ed630cc2c873b091.
• Cercate sugli endpoint un'attività pianificata denominata "TrapWatch" e questi file: sckit-run.bat, sckit-decoder.ps1, TrapWatch.ps1, Panel-Lateral.ps1, Run-Lateral-Full.bat, runnew.cmd, ToolboxRelayUploader.exe e Sqlite3.exe. Sophos ha inoltre osservato che curl.exe scarica ScreenConnect.ClientSetup.msi in C:\Windows\TEMP\sc.msi, che msiexec.exe installa poi in modo silenzioso.
• Cercate nei log di firewall, proxy e DNS gli indirizzi IP 185.99.255[.]28 e 155.94.150[.]39. Cercate inoltre questi domini: ns[.]mo7sen[.]dev (incluso il percorso /EadF.php?p=4), sc[.]payproofkit[.]com, cdn007-digitaldownloads[.]com, newnewnew[.]gotdns[.]org e Soxnewwork[.]homedns[.]org.
• Prestate attenzione a richieste di assistenza inattese, messaggi di reimpostazione della password e download di software che arrivano attraverso un canale di cui normalmente vi fidate.

Se individuate uno di questi indicatori, segnalatelo a ConnectWise e considerate compromessi i pannelli interessati, le workstation dei tecnici e gli endpoint.

Aggiornamento del 14 novembre 2026

I ricercatori hanno ora una spiegazione probabile di come gli aggressori sono riusciti ad entrare. Secondo Huntress, l'estensione RMM+ aggira gli account utente, i ruoli e l'MFA di ScreenConnect. Invece, verifica le richieste confrontandole con un'unica chiave di accesso condivisa, memorizzata nelle impostazioni dell'estensione. BleepingComputer e The Register riportano che le versioni 1.0.31 e 1.0.32 di RMM+ presentano una falla: se non è stata configurata alcuna chiave di accesso, accettano una chiave vuota. Ciò ha permesso agli aggressori di eseguire comandi senza effettuare l'accesso a ScreenConnect e senza superare l'MFA. Reimpostare le password degli operatori e attivare l'MFA quindi non protegge un'istanza in cui RMM+ è ancora abilitato. Non è stata ancora annunciata alcuna versione corretta dell'estensione.

• Assicuratevi che RMM+ e le estensioni correlate siano disabilitate su ogni istanza, inclusi i server locali. ConnectWise non può disabilitarle per Lei in quel caso.

• Verifichi la cronologia dei Run Command per individuare comandi giunti tramite RMM+, anche se i log di accesso non mostrano accessi sospetti.

• https://www.huntress.com/blog/sckit-worm-rogue-screenconnect

• https://www.bleepingcomputer.com/news/security/new-worm-like-sckit-malware-targets-msps-in-screenconnect-attacks/

• https://www.theregister.com/security/2026/11/12/hackers-exploiting-screenconnect-plugin-flaw-to-spread-malware-across-hundreds-of-pcs/5309361

• https://www.cybersecuritydive.com/news/connectwise-disables-third-party-extensions-cyberattack-ScreenConnect/874490/

Fonti

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2026/11/screenconnect-attacks-target-at-least.html