ScreenConnect: útočníci nasadzujú nepovolené klienty a malvér SCKit na 288 spravovaných koncových zariadeniach

Čo sa stalo

Dňa 12. novembra 2026 ConnectWise deaktivoval päť rozšírení ScreenConnect tretích strán v prostrediach partnerov. Urobil tak ako preventívne opatrenie po hláseniach o neoprávnenom prístupe. ConnectWise uvádza, že v softvéri ScreenConnect nenašiel žiadnu zraniteľnosť a že nedošlo ani ku kompromitácii jeho vlastnej infraštruktúry. Jeho prvotné zhodnotenie je, že útočník môže zneužívať nezávislé rozšírenia tretích strán nainštalované v prostrediach partnerov. Ako sa útočníci dostali dnu a aký je celkový rozsah, sa stále vyšetruje.

Spoločnosť Huntress sleduje túto aktivitu aj ona, prvýkrát ju zistila 11. novembra 2026 okolo 17:47 UTC. Podľa Huntress útočníci použili prístup k panelom ScreenConnect hosteným v cloude na odosielanie príkazov Run. Tieto príkazy nainštalovali nepovolené klienty ScreenConnect na najmenej 288 spravovaných koncových zariadeniach v 48 organizáciách. Huntress nezaznamenala dôkazy o novej zraniteľnosti. Jej aktuálne údaje naznačujú, že vstupným bodom boli ukradnuté prihlasovacie údaje alebo prevzaté relácie operátorov.

Nepovolení klienti doručujú SCKit, vlastnú škodlivú sadu nástrojov. Udržiava vzdialený prístup otvorený aj bez pôvodného panela. Pridáva tiež výnimky v Microsoft Defender, inštaluje druhého klienta ScreenConnect ovládaného útočníkom, vytvára naplánovanú úlohu s názvom "TrapWatch" a dokáže nahradiť legitímnu inštaláciu ScreenConnect kópiou ovládanou útočníkom.

Huntress analyzovala užitočné zaťaženia a našla kód určený na ďalšie šírenie. Keď sa technik pripojí k infikovanému koncovému zariadeniu, kód by ukradol cookie relácie .aspxauth z pracovnej stanice technika. Potom by ju použil na ďalších paneloch a cez Shared Toolbox by odoslal užitočné zaťaženie do každej dosiahnuteľnej relácie. Huntress uvádza, že zatiaľ nevidela, že by sa toto šírenie úspešne uskutočnilo. Spoločnosť Sophos samostatne nahlásila neoprávnené nasadenia klientov ScreenConnect, ktoré sledujú rovnaký vzorec.

Koho sa to týka

To sa týka organizácií, ktoré na správu koncových zariadení a serverov používajú ConnectWise ScreenConnect, predovšetkým MSP a poskytovateľov IT služieb. Doteraz pozorované útoky využívali panely ScreenConnect hostené v cloude. ConnectWise zistil približne 400 prostredí partnerov, v ktorých je nainštalované aspoň jedno z týchto rozšírení:

• Labtech Plus
• RMM Plus
• RMM+
• RMM Plus Password Link
• RMM+ Password Link

Tieto rozšírenia poskytujú API, ktoré dokáže spúšťať vzdialené príkazy. Prístup k nemu chráni heslová fráza, ktorú partner nastaví pri inštalácii. ConnectWise zdôrazňuje, že nainštalovanie niektorého z týchto rozšírení neznamená, že ste kompromitovaní. Nebola identifikovaná žiadna zraniteľnosť ScreenConnect, takže neexistuje žiadna oprava na inštaláciu. Huntress uviedla, že útočníci číslujú každého skompromitovaného MSP v poradí a čísla, ktoré videla, začínajú od určitého bodu. Ďalší MSP mohli byť zasiahnuté skôr. Preto Huntress odporúča všetkým používateľom ScreenConnect skontrolovať históriu príkazov Run, aj keď nemali žiadne upozornenia.

Čo urobiť hneď

1. Ak prevádzkujete ScreenConnect on-premises, deaktivujte päť vyššie uvedených rozšírení, ako žiada ConnectWise. Neaktivujte ich späť, kým ConnectWise nepotvrdí, že je to bezpečné.
2. Overte, že na pracovných staniciach technikov a na spravovaných koncových zariadeniach beží vaše bezpečnostné riešenie (EDR, antivírus). Skontrolujte výnimky v Microsoft Defender, ktoré nikto z vášho tímu nepridal.
3. Zachovajte auditné a relačné logy ScreenConnect a všetky ďalšie logy, ktoré ukazujú podozrivú aktivitu, skôr ako čokoľvek zmeníte.
4. Obnovte heslá všetkých operátorov ScreenConnect, ukončite aktívne relácie operátorov a overte, že pre každý účet je zapnuté viacfaktorové overenie. Zmeňte heslové frázy všetkých API rozšírení.
5. Preskúmajte účty administrátorov a oprávnenia v každom paneli. Odstráňte účty a práva, ktoré nedokážete vysvetliť.
6. Každé koncové zariadenie s nepovoleným klientom ScreenConnect alebo artefaktmi SCKit považujte za kompromitované. Izolujte ho a vyšetrite. Pred opätovnou dôverou ho vyčistite alebo preinštalujte. Skontrolujte aj pracovné stanice technikov, ktorí sa k nemu pripojili.

Ako zistiť, či ste boli zasiahnutí

• Preskúmajte históriu príkazov Run vo svojich paneloch ScreenConnect a hľadajte príkazy, ktoré nikto z vášho tímu nespustil, najmä od 11. novembra 2026. Hľadajte aj neočakávané inštalácie rozšírení, aktivitu v Toolbox a položky v Shared Toolbox.
• Hľadajte prihlásenia z neobvyklých miest, opakované neúspešné pokusy o prihlásenie, neočakávané výzvy na MFA, nové účty administrátorov a zmeny oprávnení.
• Na koncových zariadeniach hľadajte klientov ScreenConnect, ktorí nepatria k vašej vlastnej inštancii, a ďalší softvér na vzdialený prístup, ktorý ste neschválili. Spoločnosť Sophos spojila aktivitu s ID inštancií ScreenConnect d905b2b1b165d0a9, 4b8f4089ddaac6a9 a df1f7ef0cfacd0d8 a s ďalšími ID inštancií 2588ef5c15954b10 a ed630cc2c873b091.
• Na koncových zariadeniach vyhľadajte naplánovanú úlohu s názvom "TrapWatch" a tieto súbory: sckit-run.bat, sckit-decoder.ps1, TrapWatch.ps1, Panel-Lateral.ps1, Run-Lateral-Full.bat, runnew.cmd, ToolboxRelayUploader.exe a Sqlite3.exe. Sophos tiež zaznamenala, ako curl.exe sťahuje ScreenConnect.ClientSetup.msi do C:\Windows\TEMP\sc.msi, ktorý potom msiexec.exe nainštaloval potichu.
• V logoch firewallu, proxy a DNS vyhľadajte IP adresy 185.99.255[.]28 a 155.94.150[.]39. Hľadajte tiež tieto domény: ns[.]mo7sen[.]dev (vrátane cesty /EadF.php?p=4), sc[.]payproofkit[.]com, cdn007-digitaldownloads[.]com, newnewnew[.]gotdns[.]org a Soxnewwork[.]homedns[.]org.
• Sledujte neočakávané žiadosti o podporu, správy o obnovení hesla a sťahovanie softvéru, ktoré prichádza cez kanál, ktorému zvyčajne dôverujete.

Ak nájdete niektorý z týchto indikátorov, nahláste ich spoločnosti ConnectWise a považujte dotknuté panely, pracovné stanice technikov a koncové zariadenia za kompromitované.

Aktualizácia 14. novembra 2026

Výskumníci teraz majú pravdepodobné vysvetlenie, ako sa útočníci dostali dovnútra. Podľa Huntress rozšírenie RMM+ obchádza používateľské účty, roly a MFA služby ScreenConnect. Namiesto toho overuje požiadavky voči jednému spoločnému prístupovému kľúču uloženému v nastaveniach rozšírenia. BleepingComputer a The Register uvádzajú, že verzie RMM+ 1.0.31 a 1.0.32 obsahujú chybu: ak nie je nakonfigurovaný žiadny prístupový kľúč, akceptujú prázdny kľúč. Vďaka tomu mohli útočníci spúšťať príkazy bez prihlásenia do ScreenConnect a bez prejdenia MFA. Resetovanie hesiel operátorov a zapnutie MFA preto nechráni inštanciu, na ktorej je RMM+ stále povolené. Opravená verzia rozšírenia zatiaľ nebola oznámená.

• Uistite sa, že RMM+ a súvisiace rozšírenia sú vypnuté na každej inštancii vrátane lokálnych serverov. ConnectWise ich tam nemôže vypnúť za vás.

• Preskúmajte históriu príkazov Run Command a hľadajte príkazy, ktoré prišli cez RMM+, aj keď vaše prihlasovacie záznamy nezobrazujú žiadne podozrivé prihlásenia.

• https://www.huntress.com/blog/sckit-worm-rogue-screenconnect

• https://www.bleepingcomputer.com/news/security/new-worm-like-sckit-malware-targets-msps-in-screenconnect-attacks/

• https://www.theregister.com/security/2026/11/12/hackers-exploiting-screenconnect-plugin-flaw-to-spread-malware-across-hundreds-of-pcs/5309361

• https://www.cybersecuritydive.com/news/connectwise-disables-third-party-extensions-cyberattack-ScreenConnect/874490/

Zdroje

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2026/11/screenconnect-attacks-target-at-least.html