ScreenConnect-angrep: useriserte klienter og SCKit-skadevare spredd til 288 administrerte endepunkter

Hva skjedde

Den 12. november 2026 deaktiverte ConnectWise fem tredjeparts ScreenConnect-utvidelser i partnermiljøer. Dette gjorde de som en forsiktighetsregel etter rapporter om uautorisert tilgang. ConnectWise sier at de ikke har funnet noen sårbarhet i ScreenConnect-programvaren og ingen kompromittering av egen infrastruktur. Den første vurderingen er at en trusselaktør kan misbruke uavhengige tredjepartsutvidelser som er installert i partnermiljøer. Hvordan angriperne kom inn, og det fulle omfanget, undersøkes fortsatt.

Huntress følger også aktiviteten, som de først oppdaget 11. november 2026 rundt kl. 17.47 UTC. Ifølge Huntress brukte angriperne tilgang til skybaserte ScreenConnect-paneler til å sende Run-kommandoer. Disse kommandoene installerte useriserte ScreenConnect-klienter på minst 288 administrerte endepunkter i 48 organisasjoner. Huntress har ikke sett bevis for en ny sårbarhet. Dataene deres peker nå mot stjålne legitimasjonsopplysninger eller kapret operatørsesjoner som inngangsvei.

De useriserte klientene leverer SCKit, en egenutviklet skadelig verktøykasse. Den holder fjerntilgangen åpen selv uten det opprinnelige panelet. Den legger også til unntak i Microsoft Defender, installerer en andre ScreenConnect-klient kontrollert av angriperne, oppretter en planlagt oppgave med navnet "TrapWatch" og kan erstatte den legitime ScreenConnect-installasjonen med en kopi kontrollert av angriperne.

Huntress analyserte nyttelastene og fant kode ment for videre spredning. Når en tekniker kobler seg til et infisert endepunkt, vil koden stjele session-cookien .aspxauth fra teknikerens arbeidsstasjon. Deretter vil den bruke cookien på andre paneler og sende en nyttelast til alle nåbare sesjoner via Shared Toolbox. Huntress sier at de ennå ikke har sett at denne spredningen lykkes. Sophos har uavhengig rapportert om uautoriserte ScreenConnect-klientinstallasjoner som følger samme mønster.

Hvem er berørt

Dette gjelder organisasjoner som bruker ConnectWise ScreenConnect til å administrere endepunkter og servere, først og fremst MSP-er og IT-tjenesteleverandører. Angrepene som er sett så langt, brukte skybaserte ScreenConnect-paneler. ConnectWise har funnet omtrent 400 partnermiljøer med minst én av disse utvidelsene installert:

• Labtech Plus
• RMM Plus
• RMM+
• RMM Plus Password Link
• RMM+ Password Link

Disse utvidelsene tilbyr et API som kan kjøre fjernkommandoer. Tilgang til det er beskyttet av en passfrase som partneren setter under oppsett. ConnectWise understreker at det å ha en av disse utvidelsene installert ikke betyr at du er kompromittert. Det er ikke identifisert noen sårbarhet i ScreenConnect, så det finnes ingen oppdatering å installere. Huntress har bemerket at angriperne nummererer hver kompromitterte MSP fortløpende, og nummerseriene de har sett starter et stykke ut. Andre MSP-er kan derfor ha blitt rammet tidligere. Derfor anbefaler Huntress alle ScreenConnect-brukere å sjekke Run Command-historikken sin, selv om de ikke har fått varsler.

Hva du bør gjøre nå

1. Hvis du kjører ScreenConnect lokalt, deaktiver de fem utvidelsene over, slik ConnectWise ber om. Ikke slå dem på igjen før ConnectWise sier at det er trygt.
2. Kontroller at sikkerhetsverktøyene dine (EDR, antivirus) kjører på teknikeres arbeidsstasjoner og administrerte endepunkter. Se etter unntak i Microsoft Defender som ingen på teamet ditt har lagt til.
3. Ta vare på ScreenConnect-revisjonslogger og øktlogger, samt andre logger som viser mistenkelig aktivitet, før du endrer noe.
4. Tilbakestill passordene til alle ScreenConnect-operatører, avslutt aktive operatørsesjoner og sørg for at multifaktorautentisering er slått på for alle kontoer. Endre passfrasene til alle utvidelses-API-er.
5. Gå gjennom administratorkontoer og tilganger i hvert panel. Fjern kontoer og rettigheter du ikke kan forklare.
6. Behandle alle endepunkter med en useriset ScreenConnect-klient eller SCKit-spor som kompromittert. Isoler og undersøk dem. Rens dem eller installer dem på nytt før du stoler på dem igjen. Sjekk også arbeidsstasjonene til teknikere som har koblet seg til dem.

Slik sjekker du om du er rammet

• Gå gjennom Run Command-historikken i ScreenConnect-panelene dine for kommandoer ingen på teamet ditt har kjørt, særlig siden 11. november 2026. Se også etter uventede utvidelsesinstallasjoner, Toolbox-aktivitet og elementer i Shared Toolbox.
• Se etter innlogginger fra uvanlige steder, gjentatte mislykkede innloggingsforsøk, uventede MFA-forespørsler, nye administratorkontoer og endringer i tillatelser.
• På endepunkter, se etter ScreenConnect-klienter som ikke tilhører din egen instans, og etter annen fjernstyringsprogramvare du ikke har godkjent. Sophos har koblet aktiviteten til ScreenConnect-instans-ID-ene d905b2b1b165d0a9, 4b8f4089ddaac6a9 og df1f7ef0cfacd0d8, og til de tilleggsinstans-ID-ene 2588ef5c15954b10 og ed630cc2c873b091.
• Søk på endepunkter etter en planlagt oppgave med navnet "TrapWatch" og etter disse filene: sckit-run.bat, sckit-decoder.ps1, TrapWatch.ps1, Panel-Lateral.ps1, Run-Lateral-Full.bat, runnew.cmd, ToolboxRelayUploader.exe og Sqlite3.exe. Sophos så også at curl.exe lastet ned ScreenConnect.ClientSetup.msi til C:\Windows\TEMP\sc.msi, som msiexec.exe deretter installerte stille.
• Søk i brannmur-, proxy- og DNS-logger etter IP-adressene 185.99.255[.]28 og 155.94.150[.]39. Søk også etter disse domenene: ns[.]mo7sen[.]dev (inkludert stien /EadF.php?p=4), sc[.]payproofkit[.]com, cdn007-digitaldownloads[.]com, newnewnew[.]gotdns[.]org og Soxnewwork[.]homedns[.]org.
• Vær oppmerksom på uventede supportforespørsler, meldinger om passordtilbakestilling og programvarenedlastinger som kommer via en kanal du normalt stoler på.

Hvis du finner noen av disse indikatorene, rapporter dem til ConnectWise og behandle de berørte panelene, arbeidsstasjonene til teknikere og endepunktene som kompromittert.

Oppdatering 14. november 2026

Forskerne har nå en sannsynlig forklaring på hvordan angriperne kom inn. Ifølge Huntress hopper RMM+-utvidelsen over ScreenConnects brukerkontoer, roller og MFA. I stedet sjekker den forespørsler mot én felles tilgangsnøkkel som er lagret i utvidelsens innstillinger. BleepingComputer og The Register rapporterer at RMM+-versjonene 1.0.31 og 1.0.32 har en feil: hvis ingen tilgangsnøkkel er konfigurert, godtar de en tom nøkkel. Dette gjorde at angripere kunne kjøre kommandoer uten å logge inn i ScreenConnect og uten å passere MFA. Å tilbakestille operatørpassord og slå på MFA beskytter derfor ikke en installasjon der RMM+ fortsatt er aktivert. Det er foreløpig ikke annonsert noen rettet versjon av utvidelsen.

• Sørg for at RMM+ og de relaterte utvidelsene er deaktivert på hver installasjon, også lokale servere. ConnectWise kan ikke deaktivere dem der for deg.

• Gå gjennom loggen over Run Command-kommandoer for kommandoer som kom via RMM+, selv om innloggingsloggene dine ikke viser mistenkelige innlogginger.

• https://www.huntress.com/blog/sckit-worm-rogue-screenconnect

• https://www.bleepingcomputer.com/news/security/new-worm-like-sckit-malware-targets-msps-in-screenconnect-attacks/

• https://www.theregister.com/security/2026/11/12/hackers-exploiting-screenconnect-plugin-flaw-to-spread-malware-across-hundreds-of-pcs/5309361

• https://www.cybersecuritydive.com/news/connectwise-disables-third-party-extensions-cyberattack-ScreenConnect/874490/

Kilder

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2026/11/screenconnect-attacks-target-at-least.html