ScreenConnect: 공격자, 288개 관리 엔드포인트에 불법 클라이언트와 SCKit 악성코드 배포

사건 개요

2026년 11월 12일 ConnectWise는 파트너 환경에서 서드파티 ScreenConnect 확장 기능 5개를 비활성화했습니다. 무단 접근 보고가 접수된 뒤 예방 조치로 취한 조치입니다. ConnectWise는 ScreenConnect 소프트웨어에서 취약점을 발견하지 못했으며 자사 인프라가 침해되지도 않았다고 밝혔습니다. 초기 평가에 따르면 위협 행위자가 파트너 환경에 설치된 독립 서드파티 확장 기능을 악용하고 있을 가능성이 있습니다. 공격자가 침투한 경로와 전체 피해 범위는 아직 조사 중입니다.

Huntress도 이 활동을 추적하고 있으며, 2026년 11월 11일 UTC 기준 약 17:47에 처음 탐지했습니다. Huntress에 따르면 공격자는 클라우드에 호스팅된 ScreenConnect 패널에 대한 접근 권한을 이용해 Run 명령을 전송했습니다. 이 명령으로 48개 조직의 관리 엔드포인트 최소 288곳에 불법 ScreenConnect 클라이언트가 설치되었습니다. Huntress는 새로운 취약점의 증거를 확인하지 못했습니다. 현재 데이터에 따르면 침투 경로는 탈취된 자격 증명이나 가로채인 운영자 세션일 가능성이 있습니다.

불법 클라이언트는 사용자 정의 악성 툴킷인 SCKit을 배포합니다. 이 툴킷은 원본 패널이 없어도 원격 접근을 유지합니다. 또한 Microsoft Defender 제외 설정을 추가하고, 공격자가 통제하는 두 번째 ScreenConnect 클라이언트를 설치하며, "TrapWatch"라는 예약 작업을 만들고, 정상 ScreenConnect 설치본을 공격자가 만든 사본으로 교체할 수 있습니다.

Huntress는 페이로드를 분석한 결과 추가 확산을 위한 코드를 발견했습니다. 기술자가 감염된 엔드포인트에 연결하면 이 코드는 기술자의 워크스테이션에서 .aspxauth 세션 쿠키를 탈취합니다. 이후 해당 쿠키를 다른 패널에서 사용하고, 공유 도구 상자(Shared Toolbox)를 통해 접근 가능한 모든 세션에 페이로드를 배포합니다. Huntress는 아직 이 확산이 성공한 사례를 확인하지 못했다고 밝혔습니다. Sophos도 같은 패턴을 따르는 무단 ScreenConnect 클라이언트 배포를 별도로 보고했습니다.

영향을 받는 대상

이번 사건은 ConnectWise ScreenConnect로 엔드포인트와 서버를 관리하는 조직, 주로 MSP와 IT 서비스 제공업체에 영향을 줍니다. 지금까지 확인된 공격은 클라우드에 호스팅된 ScreenConnect 패널을 대상으로 했습니다. ConnectWise는 다음 확장 기능 중 하나 이상이 설치된 파트너 환경을 약 400곳 확인했습니다.

• Labtech Plus
• RMM Plus
• RMM+
• RMM Plus Password Link
• RMM+ Password Link

이 확장 기능은 원격 명령을 실행할 수 있는 API를 제공합니다. 이 API에 대한 접근은 파트너가 설정 과정에서 지정한 암호 문구로 보호됩니다. ConnectWise는 이러한 확장 기능이 설치되어 있다는 사실만으로 침해되었다는 뜻은 아니라고 강조했습니다. ScreenConnect 취약점은 확인되지 않았으므로 설치할 패치도 없습니다. Huntress는 공격자들이 침해된 MSP에 순차 번호를 붙이고 있으며, 확인된 번호가 중간부터 시작된다고 밝혔습니다. 따라서 다른 MSP들도 더 일찍 공격을 받았을 수 있습니다. 이에 Huntress는 경고를 받지 않았더라도 모든 ScreenConnect 사용자가 Run Command 기록을 확인할 것을 권고합니다.

지금 해야 할 조치

1. 온프레미스 환경에서 ScreenConnect를 운영하는 경우 ConnectWise의 권고대로 위에 나열된 확장 기능 5개를 비활성화하십시오. ConnectWise가 안전하다고 밝히기 전까지 다시 활성화하지 마십시오.
2. 기술자 워크스테이션과 관리 엔드포인트에서 보안 통제 솔루션(EDR, 백신)이 실행 중인지 확인하십시오. 팀원이 추가하지 않은 Microsoft Defender 제외 설정이 있는지도 점검하십시오.
3. 무엇이든 변경하기 전에 ScreenConnect 감사 로그와 세션 로그, 그리고 의심스러운 활동을 보여주는 기타 로그를 보존하십시오.
4. 모든 ScreenConnect 운영자의 암호를 재설정하고, 활성 운영자 세션을 종료하며, 모든 계정에 다중 인증(MFA)이 설정되어 있는지 확인하십시오. 확장 기능 API의 암호 문구도 변경하십시오.
5. 모든 패널에서 관리자 계정과 권한을 검토하십시오. 설명할 수 없는 계정과 권한은 제거하십시오.
6. 불법 ScreenConnect 클라이언트나 SCKit 흔적이 있는 엔드포인트는 침해된 것으로 간주하십시오. 해당 엔드포인트를 격리하고 조사하십시오. 신뢰하기 전에 정리하거나 재구축하십시오. 또한 해당 엔드포인트에 연결했던 기술자의 워크스테이션도 점검하십시오.

피해 여부 확인 방법

• ScreenConnect 패널의 Run Command 기록에서 팀원이 실행하지 않은 명령을 확인하십시오. 특히 2026년 11월 11일 이후 기록을 중점적으로 보십시오. 예상치 못한 확장 기능 설치, 도구 상자(Toolbox) 활동, 공유 도구 상자 항목도 확인하십시오.
• 비정상적인 위치에서의 로그인, 반복된 로그인 실패, 예상치 못한 MFA 요청, 새 관리자 계정, 권한 변경을 살펴보십시오.
• 엔드포인트에서는 자사 인스턴스에 속하지 않는 ScreenConnect 클라이언트와 승인하지 않은 다른 원격 접근 소프트웨어를 찾으십시오. Sophos는 이번 활동을 ScreenConnect 인스턴스 ID d905b2b1b165d0a9, 4b8f4089ddaac6a9, df1f7ef0cfacd0d8과 추가 인스턴스 ID 2588ef5c15954b10, ed630cc2c873b091과 연관 지었습니다.
• 엔드포인트에서 "TrapWatch"라는 이름의 예약 작업과 다음 파일을 검색하십시오: sckit-run.bat, sckit-decoder.ps1, TrapWatch.ps1, Panel-Lateral.ps1, Run-Lateral-Full.bat, runnew.cmd, ToolboxRelayUploader.exe, Sqlite3.exe. Sophos는 또한 curl.exe가 ScreenConnect.ClientSetup.msi를 C:\Windows\TEMP\sc.msi로 내려받고, 이후 msiexec.exe가 이를 무음으로 설치하는 것을 확인했습니다.
• 방화벽, 프록시, DNS 로그에서 IP 주소 185.99.255[.]28과 155.94.150[.]39를 검색하십시오. 또한 다음 도메인을 검색하십시오: ns[.]mo7sen[.]dev (경로 /EadF.php?p=4 포함), sc[.]payproofkit[.]com, cdn007-digitaldownloads[.]com, newnewnew[.]gotdns[.]org, Soxnewwork[.]homedns[.]org.
• 평소 신뢰하던 채널로 도착한 예상치 못한 지원 요청, 암호 재설정 메시지, 소프트웨어 다운로드를 주의하십시오.

위와 같은 침해 지표(IOC)를 발견하면 ConnectWise에 보고하고, 해당 패널, 기술자 워크스테이션, 엔드포인트를 침해된 것으로 간주하십시오.

업데이트 2026년 11월 14일

연구진은 이제 공격자가 어떻게 침투했는지에 대한 유력한 설명을 확보했습니다. Huntress에 따르면 RMM+ 확장 프로그램은 ScreenConnect의 사용자 계정, 역할 및 MFA를 거치지 않습니다. 대신 확장 프로그램 설정에 저장된 단일 공유 액세스 키로 요청을 확인합니다. BleepingComputer와 The Register는 RMM+ 1.0.31 및 1.0.32 버전에 결함이 있다고 보도했습니다. 액세스 키가 설정되지 않은 경우 이 버전들은 빈 키를 허용합니다. 이로 인해 공격자는 ScreenConnect에 로그인하지 않고, MFA를 통과하지 않고도 명령을 실행할 수 있었습니다. 따라서 RMM+가 여전히 활성화되어 있는 인스턴스는 운영자 비밀번호를 재설정하고 MFA를 켜도 보호되지 않습니다. 아직 확장 프로그램의 수정 버전은 발표되지 않았습니다.

• 온프레미스 서버를 포함한 모든 인스턴스에서 RMM+ 및 관련 확장 프로그램이 비활성화되어 있는지 확인하십시오. ConnectWise는 온프레미스 서버에서는 이를 대신 비활성화할 수 없습니다.

• 로그인 기록에 의심스러운 로그인이 없더라도 RMM+를 통해 전달된 명령이 있는지 Run Command 기록을 검토하십시오.

• https://www.huntress.com/blog/sckit-worm-rogue-screenconnect

• https://www.bleepingcomputer.com/news/security/new-worm-like-sckit-malware-targets-msps-in-screenconnect-attacks/

• https://www.theregister.com/security/2026/11/12/hackers-exploiting-screenconnect-plugin-flaw-to-spread-malware-across-hundreds-of-pcs/5309361

• https://www.cybersecuritydive.com/news/connectwise-disables-third-party-extensions-cyberattack-ScreenConnect/874490/

출처

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2026/11/screenconnect-attacks-target-at-least.html