ScreenConnect: aanvallers verspreiden nepclients en SCKit-malware naar 288 beheerde endpoints

Wat er is gebeurd

Op 12 november 2026 heeft ConnectWise vijf extensies van derden voor ScreenConnect uitgeschakeld in partneromgevingen. Dit gebeurde als voorzorgsmaatregel na meldingen van ongeautoriseerde toegang. ConnectWise stelt dat het geen kwetsbaarheid in de ScreenConnect-software heeft gevonden en dat de eigen infrastructuur niet is gecompromitteerd. Volgens de eerste beoordeling misbruikt een dreigingsactor mogelijk onafhankelijke extensies van derden die in partneromgevingen zijn geïnstalleerd. Hoe de aanvallers zijn binnengekomen en wat de volledige omvang is, wordt nog onderzocht.

Huntress volgt deze activiteit eveneens. Die is voor het eerst gedetecteerd op 11 november 2026 rond 17:47 UTC. Volgens Huntress gebruikten de aanvallers toegang tot cloudgehoste ScreenConnect-panelen om Run-commando's te versturen. Deze commando's installeerden kwaadaardige ScreenConnect-clients op minstens 288 beheerde endpoints in 48 organisaties. Huntress heeft geen bewijs gezien van een nieuwe kwetsbaarheid. De huidige gegevens wijzen op gestolen inloggegevens of gekaapte operatorsessies als toegangsweg.

De nepclients brengen SCKit mee, een op maat gemaakte kwaadaardige toolkit. Daarmee blijft de externe toegang openstaan, ook zonder het oorspronkelijke paneel. SCKit voegt bovendien uitzonderingen toe in Microsoft Defender, installeert een tweede door de aanvaller beheerde ScreenConnect-client, maakt een geplande taak met de naam "TrapWatch" aan en kan de legitieme ScreenConnect-installatie vervangen door een kopie onder controle van de aanvaller.

Huntress heeft de payloads geanalyseerd en code gevonden die bedoeld is om zich verder te verspreiden. Wanneer een technicus verbinding maakt met een geïnfecteerd endpoint, zou de code het .aspxauth-sessiecookie van de werkstation van de technicus stelen. Vervolgens zou die cookie worden gebruikt op andere panelen, waarna een payload naar elke bereikbare sessie via de Shared Toolbox wordt gestuurd. Huntress zegt dat deze verspreiding nog niet succesvol is gebleken. Sophos heeft los daarvan ongeautoriseerde uitrol van ScreenConnect-clients gemeld die hetzelfde patroon volgen.

Wie is getroffen

Dit raakt organisaties die ConnectWise ScreenConnect gebruiken om endpoints en servers te beheren, vooral MSP's en IT-dienstverleners. De tot nu toe geziene aanvallen maakten gebruik van cloudgehoste ScreenConnect-panelen. ConnectWise heeft ongeveer 400 partneromgevingen gevonden waarin minstens één van de volgende extensies is geïnstalleerd:

• Labtech Plus
• RMM Plus
• RMM+
• RMM Plus Password Link
• RMM+ Password Link

Deze extensies bieden een API waarmee externe commando's kunnen worden uitgevoerd. De toegang daartoe is beveiligd met een wachtwoordzin die de partner tijdens de installatie instelt. ConnectWise benadrukt dat het installeren van een van deze extensies niet betekent dat u gecompromitteerd bent. Er is geen ScreenConnect-kwetsbaarheid vastgesteld, dus er is geen patch om te installeren. Huntress heeft opgemerkt dat de aanvallers elke gecompromitteerde MSP in volgorde nummeren en dat de nummers die zijn gezien ergens halverwege beginnen. Andere MSP's kunnen dus eerder getroffen zijn. Daarom adviseert Huntress alle ScreenConnect-gebruikers om hun Run Command-geschiedenis te controleren, ook als ze geen meldingen hebben ontvangen.

Wat u nu moet doen

1. Als u ScreenConnect on-premises gebruikt, schakel dan de vijf hierboven genoemde extensies uit, zoals ConnectWise vraagt. Zet ze pas weer aan wanneer ConnectWise heeft laten weten dat dit veilig is.
2. Controleer of uw beveiligingsmaatregelen (EDR, antivirus) actief zijn op werkstations van technici en op beheerde endpoints. Controleer ook op uitzonderingen in Microsoft Defender die niemand in uw team heeft toegevoegd.
3. Bewaar de ScreenConnect-audit- en sessielogs en andere logs die verdachte activiteit tonen, voordat u iets wijzigt.
4. Stel de wachtwoorden van alle ScreenConnect-operators opnieuw in, beëindig actieve operatorsessies en zorg dat multifactorauthenticatie voor elk account is ingeschakeld. Wijzig de wachtwoordzinnen van alle extensie-API's.
5. Controleer de beheerdersaccounts en rechten in elk paneel. Verwijder accounts en rechten die u niet kunt verklaren.
6. Behandel elk endpoint met een kwaadaardige ScreenConnect-client of SCKit-artefacten als gecompromitteerd. Isoleer en onderzoek het. Maak het schoon of bouw het opnieuw op voordat u het weer vertrouwt. Controleer ook de werkstations van technici die daarmee verbinding hebben gemaakt.

Hoe u controleert of u getroffen bent

• Controleer de Run Command-geschiedenis in uw ScreenConnect-panelen op commando's die niemand in uw team heeft uitgevoerd, vooral sinds 11 november 2026. Let ook op onverwachte extensie-installaties, Toolbox-activiteit en items in de Shared Toolbox.
• Zoek naar aanmeldingen vanaf ongebruikelijke locaties, herhaalde mislukte inlogpogingen, onverwachte MFA-verzoeken, nieuwe beheerdersaccounts en wijzigingen in rechten.
• Zoek op endpoints naar ScreenConnect-clients die niet bij uw eigen omgeving horen, en naar andere software voor externe toegang die u niet hebt goedgekeurd. Sophos heeft de activiteit gekoppeld aan de ScreenConnect-instantie-ID's d905b2b1b165d0a9, 4b8f4089ddaac6a9 en df1f7ef0cfacd0d8, en aan de aanvullende instantie-ID's 2588ef5c15954b10 en ed630cc2c873b091.
• Zoek op endpoints naar een geplande taak met de naam "TrapWatch" en naar de volgende bestanden: sckit-run.bat, sckit-decoder.ps1, TrapWatch.ps1, Panel-Lateral.ps1, Run-Lateral-Full.bat, runnew.cmd, ToolboxRelayUploader.exe en Sqlite3.exe. Sophos heeft ook gezien dat curl.exe ScreenConnect.ClientSetup.msi downloadde naar C:\Windows\TEMP\sc.msi, waarna msiexec.exe dit stil installeerde.
• Zoek in firewall-, proxy- en DNS-logs naar de IP-adressen 185.99.255[.]28 en 155.94.150[.]39. Zoek ook naar de volgende domeinen: ns[.]mo7sen[.]dev (inclusief het pad /EadF.php?p=4), sc[.]payproofkit[.]com, cdn007-digitaldownloads[.]com, newnewnew[.]gotdns[.]org en Soxnewwork[.]homedns[.]org.
• Let op onverwachte supportverzoeken, berichten over wachtwoordreset en softwaredownloads die via een kanaal binnenkomen dat u normaal vertrouwt.

Als u een van deze indicatoren vindt, meld deze dan bij ConnectWise en behandel de getroffen panelen, werkstations van technici en endpoints als gecompromitteerd.

Update van 14 november 2026

Onderzoekers hebben nu een waarschijnlijke verklaring voor de manier waarop de aanvallers binnenkwamen. Volgens Huntress slaat de RMM+-extensie de gebruikersaccounts, rollen en MFA van ScreenConnect over. In plaats daarvan controleert zij verzoeken aan de hand van één gedeelde toegangssleutel die is opgeslagen in de instellingen van de extensie. BleepingComputer en The Register melden dat RMM+-versies 1.0.31 en 1.0.32 een fout bevatten: als er geen toegangssleutel is ingesteld, accepteren ze een lege sleutel. Hierdoor konden aanvallers opdrachten uitvoeren zonder in te loggen op ScreenConnect en zonder MFA te doorlopen. Het resetten van operatorwachtwoorden en het inschakelen van MFA beschermt daarom geen instantie waarop RMM+ nog is ingeschakeld. Er is nog geen gecorrigeerde versie van de extensie aangekondigd.

• Zorg ervoor dat RMM+ en de gerelateerde extensies op elke instantie zijn uitgeschakeld, ook op on-premises servers. ConnectWise kan deze daar niet voor u uitschakelen.

• Controleer uw Run Command-geschiedenis op opdrachten die via RMM+ zijn binnengekomen, ook als uw inloggegevens geen verdachte aanmeldingen tonen.

• https://www.huntress.com/blog/sckit-worm-rogue-screenconnect

• https://www.bleepingcomputer.com/news/security/new-worm-like-sckit-malware-targets-msps-in-screenconnect-attacks/

• https://www.theregister.com/security/2026/11/12/hackers-exploiting-screenconnect-plugin-flaw-to-spread-malware-across-hundreds-of-pcs/5309361

• https://www.cybersecuritydive.com/news/connectwise-disables-third-party-extensions-cyberattack-ScreenConnect/874490/

Bronnen

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2026/11/screenconnect-attacks-target-at-least.html