ScreenConnect: angreatorii împing clienți necunoscuți și malware SCKit pe 288 de endpoint-uri gestionate

Ce s-a întâmplat

Pe 12 noiembrie 2026, ConnectWise a dezactivat cinci extensii ScreenConnect ale terților din mediile partenerilor. A făcut acest lucru ca măsură de precauție, după rapoarte despre acces neautorizat. ConnectWise spune că nu a găsit nicio vulnerabilitate în software-ul ScreenConnect și nicio compromitere a propriei infrastructuri. Prima evaluare a companiei arată că un actor de amenințare ar putea abuza de extensii independente ale terților instalate în mediile partenerilor. Modul în care atacatorii au pătruns și amploarea completă a incidentului sunt încă investigate.

Huntress urmărește și ea activitatea, pe care a detectat-o pentru prima dată pe 11 noiembrie 2026, în jur de 17:47 UTC. Potrivit Huntress, atacatorii au folosit accesul la panourile ScreenConnect găzduite în cloud pentru a trimite comenzi Run. Aceste comenzi au instalat clienți ScreenConnect necunoscuți pe cel puțin 288 de endpoint-uri gestionate din 48 de organizații. Huntress nu a observat dovezi ale unei noi vulnerabilități. Datele actuale indică drept cale de intrare credențiale furate sau sesiuni ale operatorilor preluate.

Clienții necunoscuți livrează SCKit, un set de instrumente malițioase personalizat. Acesta menține accesul la distanță deschis chiar și fără panoul original. Adaugă, de asemenea, excepții în Microsoft Defender, instalează un al doilea client ScreenConnect controlat de atacatori, creează o sarcină programată numită „TrapWatch” și poate înlocui instalarea legitimă ScreenConnect cu o copie controlată de atacatori.

Huntress a analizat payload-urile și a găsit cod menit să se răspândească mai departe. Când un tehnician se conectează la un endpoint infectat, codul ar fura cookie-ul de sesiune .aspxauth de pe stația de lucru a tehnicianului. Apoi ar folosi cookie-ul pe alte panouri și ar trimite un payload către fiecare sesiune accesibilă prin Shared Toolbox. Huntress spune că nu a observat încă ca această răspândire să reușească. Sophos a raportat separat implementări neautorizate de clienți ScreenConnect care urmează același tipar.

Cine este afectat

Acest lucru îi afectează pe cei care folosesc ConnectWise ScreenConnect pentru a gestiona endpoint-uri și servere, în special MSP-urile și furnizorii de servicii IT. Atacurile văzute până acum au vizat panouri ScreenConnect găzduite în cloud. ConnectWise a identificat aproximativ 400 de medii ale partenerilor cu cel puțin una dintre aceste extensii instalate:

• Labtech Plus
• RMM Plus
• RMM+
• RMM Plus Password Link
• RMM+ Password Link

Aceste extensii oferă un API care poate rula comenzi de la distanță. Accesul la acesta este protejat printr-o parolă de acces (passphrase) pe care partenerul o setează la configurare. ConnectWise subliniază că prezența uneia dintre aceste extensii nu înseamnă că ai fost compromis. Nu a fost identificată nicio vulnerabilitate ScreenConnect, deci nu există un patch de instalat. Huntress a observat că atacatorii numerotează în ordine fiecare MSP compromis, iar numerele pe care le-a văzut încep de la un punct intermediar. Alți MSP-uri ar fi putut fi, prin urmare, afectate mai devreme. De aceea, Huntress recomandă tuturor utilizatorilor ScreenConnect să verifice istoricul comenzilor Run, chiar dacă nu au avut alerte.

Ce să faci acum

1. Dacă rulezi ScreenConnect on-premises, dezactivează cele cinci extensii enumerate mai sus, cum cere ConnectWise. Nu le reactiva până când ConnectWise nu confirmă că este sigur.
2. Verifică dacă soluțiile de securitate (EDR, antivirus) rulează pe stațiile tehnicienilor și pe endpoint-urile gestionate. Verifică excepțiile Microsoft Defender pe care nimeni din echipa ta nu le-a adăugat.
3. Păstrează jurnalele de audit și de sesiune ScreenConnect, precum și orice alte jurnale care arată activitate suspectă, înainte să modifici ceva.
4. Resetează parolele tuturor operatorilor ScreenConnect, încheie sesiunile active ale operatorilor și asigură-te că autentificarea multifactor este activată pentru fiecare cont. Schimbă passphrase-urile oricăror API-uri ale extensiilor.
5. Verifică conturile de administrator și permisiunile din fiecare panou. Elimină conturile și drepturile pe care nu le poți explica.
6. Consideră compromis orice endpoint cu un client ScreenConnect necunoscut sau cu artefacte SCKit. Izolează-l și investighează-l. Curăță-l sau reconstruiește-l înainte să mai ai încredere în el. Verifică și stațiile tehnicienilor care s-au conectat la acel endpoint.

Cum verifici dacă ai fost afectat

• Verifică istoricul comenzilor Run din panourile ScreenConnect pentru comenzi pe care nimeni din echipa ta nu le-a rulat, mai ales începând cu 11 noiembrie 2026. Caută și instalări neobișnuite de extensii, activitate Toolbox și elemente din Shared Toolbox.
• Caută autentificări din locații neobișnuite, eșecuri repetate de autentificare, solicitări MFA neașteptate, conturi noi de administrator și modificări de permisiuni.
• Pe endpoint-uri, caută clienți ScreenConnect care nu aparțin propriei tale instanțe și alt software de acces la distanță pe care nu l-ai aprobat. Sophos a legat activitatea de ID-urile de instanță ScreenConnect d905b2b1b165d0a9, 4b8f4089ddaac6a9 și df1f7ef0cfacd0d8, precum și de ID-urile suplimentare 2588ef5c15954b10 și ed630cc2c873b091.
• Caută pe endpoint-uri o sarcină programată numită „TrapWatch” și următoarele fișiere: sckit-run.bat, sckit-decoder.ps1, TrapWatch.ps1, Panel-Lateral.ps1, Run-Lateral-Full.bat, runnew.cmd, ToolboxRelayUploader.exe și Sqlite3.exe. Sophos a observat, de asemenea, că curl.exe a descărcat ScreenConnect.ClientSetup.msi în C:\Windows\TEMP\sc.msi, pe care msiexec.exe l-a instalat apoi silențios.
• Caută în jurnalele de firewall, proxy și DNS adresele IP 185.99.255[.]28 și 155.94.150[.]39. Caută, de asemenea, aceste domenii: ns[.]mo7sen[.]dev (inclusiv calea /EadF.php?p=4), sc[.]payproofkit[.]com, cdn007-digitaldownloads[.]com, newnewnew[.]gotdns[.]org și Soxnewwork[.]homedns[.]org.
• Fii atent la solicitări de suport neașteptate, mesaje de resetare a parolei și descărcări de software care sosesc printr-un canal în care de obicei ai încredere.

Dacă găsești oricare dintre acești indicatori, raportează-i către ConnectWise și consideră panourile afectate, stațiile tehnicienilor și endpoint-urile ca fiind compromise.

Actualizare 14 noiembrie 2026

Investigadorii au acum o explicație probabilă pentru modul în care atacatorii au intrat. Potrivit Huntress, extensia RMM+ ocolește conturile de utilizator, rolurile și MFA din ScreenConnect. În schimb, verifică cererile față de o singură cheie de acces comună, stocată în setările extensiei. BleepingComputer și The Register raportează că versiunile 1.0.31 și 1.0.32 ale RMM+ au o vulnerabilitate: dacă nu a fost configurată nicio cheie de acces, acceptă una goală. Asta le-a permis atacatorilor să ruleze comenzi fără să se conecteze la ScreenConnect și fără să treacă de MFA. Prin urmare, resetarea parolelor operatorilor și activarea MFA nu protejează o instanță pe care RMM+ este încă activat. Nu a fost anunțată încă nicio versiune remediată a extensiei.

• Asigură-te că RMM+ și extensiile conexe sunt dezactivate pe fiecare instanță, inclusiv pe serverele on-premises. ConnectWise nu le poate dezactiva pentru tine acolo.

• Verifică istoricul comenzilor Run Command pentru comenzi care au venit prin RMM+, chiar dacă jurnalele de autentificare nu arată autentificări suspecte.

• https://www.huntress.com/blog/sckit-worm-rogue-screenconnect

• https://www.bleepingcomputer.com/news/security/new-worm-like-sckit-malware-targets-msps-in-screenconnect-attacks/

• https://www.theregister.com/security/2026/11/12/hackers-exploiting-screenconnect-plugin-flaw-to-spread-malware-across-hundreds-of-pcs/5309361

• https://www.cybersecuritydive.com/news/connectwise-disables-third-party-extensions-cyberattack-ScreenConnect/874490/

Surse

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2026/11/screenconnect-attacks-target-at-least.html