ScreenConnect: napadalci širijo zlonamerne odjemalce in zlonamerno programsko opremo SCKit na 288 upravljanih končnih točk

Kaj se je zgodilo

Dne 12. novembra 2026 je ConnectWise v okoljih partnerjev onemogočil pet razširitev ScreenConnect tretjih oseb. Naredil je to preventivno, potem ko so se pojavila poročila o nepooblaščenem dostopu. ConnectWise pravi, da v programski opremi ScreenConnect ni našel nobene ranljivosti in da njegova lastna infrastruktura ni bila ogrožena. Njegova prva ocena je, da lahko grožnjeva akterja zlorabljata samostojne razširitve tretjih oseb, nameščene v okoljih partnerjev. Kako so napadalci prišli noter in kakšen je celoten obseg, se še preiskuje.

Huntress prav tako spremlja to dejavnost, ki jo je prvič zaznal 11. novembra 2026 okoli 17:47 UTC. Po navedbah podjetja Huntress so napadalci z dostopom do panelov ScreenConnect, gostovanih v oblaku, pošiljali ukaze Run. Ti ukazi so na vsaj 288 upravljanih končnih točkah v 48 organizacijah namestili zlonamerne odjemalce ScreenConnect. Huntress ni videl dokazov o novi ranljivosti. Njegovi trenutni podatki kažejo na ukradene poverilnice ali ugrabljene seje operaterjev kot način vdora.

Zlonamerni odjemalci namestijo SCKit, po meri narejen zlonamerni nabor orodij. Ta ohranja oddaljeni dostop odprt tudi brez prvotnega panela. Dodaja tudi izjeme v Microsoft Defender, namesti drugi odjemalec ScreenConnect pod nadzorom napadalcev, ustvari načrtovano opravilo z imenom "TrapWatch" in lahko zamenja zakonito namestitev ScreenConnect z kopijo pod nadzorom napadalcev.

Huntress je analiziral tovore in našel kodo, namenjeno nadaljnjemu širjenju. Ko se tehnik poveže z okuženo končno točko, bi koda ukradla piškotek seje .aspxauth z delovne postaje tehnika. Nato bi ga uporabila na drugih panelih in prek Shared Toolbox poslala tovor vsaki dosegljivi seji. Huntress pravi, da še ni videl, da bi se to širjenje uspelo. Sophos je ločeno poročal o nepooblaščenih namestitvah odjemalcev ScreenConnect, ki sledijo istemu vzorcu.

Koga se to tiče

To zadeva organizacije, ki za upravljanje končnih točk in strežnikov uporabljajo ConnectWise ScreenConnect, predvsem MSP-je in ponudnike IT storitev. Doslej opaženi napadi so uporabljali panele ScreenConnect, gostovane v oblaku. ConnectWise je ugotovil približno 400 okolij partnerjev, v katerih je nameščena vsaj ena od teh razširitev:

• Labtech Plus
• RMM Plus
• RMM+
• RMM Plus Password Link
• RMM+ Password Link

Te razširitve ponujajo API, ki lahko izvaja oddaljene ukaze. Dostop do njega je zaščiten z geslom, ki ga partner nastavi med namestitvijo. ConnectWise poudarja, da namestitev ene od teh razširitev ne pomeni, da ste ogroženi. Ranljivost ScreenConnect ni bila ugotovljena, zato popravka ni za namestitev. Huntress je opazil, da napadalci oštevilčijo vsakega ogroženega MSP-ja zaporedno, številke, ki jih je videl, pa se začnejo sredi zaporedja. Drugi MSP-ji so bili torej morda napadeni prej. Zato Huntress vsem uporabnikom ScreenConnect svetuje, naj preverijo zgodovino ukazov Run, tudi če niso prejeli nobenih opozoril.

Kaj storiti zdaj

1. Če ScreenConnect uporabljate lokalno, onemogočite pet zgoraj navedenih razširitev, kot zahteva ConnectWise. Ne vklapljajte jih znova, dokler ConnectWise ne sporoči, da je to varno.
2. Preverite, ali so varnostni nadzori (EDR, antivirus) aktivni na delovnih postajah tehnikov in upravljanih končnih točkah. Preverite izjeme v Microsoft Defender, ki jih ni dodal nihče iz vaše ekipe.
3. Pred kakršnimikoli spremembami shranite revizijske dnevnike ScreenConnect, dnevnike sej in vse druge dnevnike, ki kažejo sumljivo dejavnost.
4. Ponastavite gesla vseh operaterjev ScreenConnect, prekinite aktivne seje operaterjev in poskrbite, da je večfaktorska avtentikacija vklopljena za vsak račun. Spremenite gesla API-jev vseh razširitev.
5. Pregledajte skrbniške račune in dovoljenja v vseh panelih. Odstranite račune in pravice, ki jih ne znate pojasniti.
6. Vsako končno točko z zlonamernim odjemalcem ScreenConnect ali artefakti SCKit obravnavajte kot ogroženo. Izolirajte jo in jo preiščite. Očistite jo ali ponovno namestite, preden ji znova zaupate. Preverite tudi delovne postaje tehnikov, ki so se povezali nanjo.

Kako preveriti, ali ste bili zadeti

• V panelih ScreenConnect preglejte zgodovino ukazov Run za ukaze, ki jih nihče v vaši ekipi ni zagnal, zlasti od 11. novembra 2026 naprej. Poiščite tudi nenavadne namestitve razširitev, dejavnost Toolbox in elemente Shared Toolbox.
• Poiščite prijave z nenavadnih lokacij, ponavljajoče se neuspešne prijave, nepričakovane zahteve za MFA, nove skrbniške račune in spremembe dovoljenj.
• Na končnih točkah poiščite odjemalce ScreenConnect, ki ne pripadajo vaši lastni instanci, in drugo programsko opremo za oddaljeni dostop, ki je niste odobrili. Sophos je dejavnost povezal z ID-ji instanc ScreenConnect d905b2b1b165d0a9, 4b8f4089ddaac6a9 in df1f7ef0cfacd0d8 ter z dodatnimi ID-ji instanc 2588ef5c15954b10 in ed630cc2c873b091.
• Na končnih točkah poiščite načrtovano opravilo z imenom "TrapWatch" in naslednje datoteke: sckit-run.bat, sckit-decoder.ps1, TrapWatch.ps1, Panel-Lateral.ps1, Run-Lateral-Full.bat, runnew.cmd, ToolboxRelayUploader.exe in Sqlite3.exe. Sophos je opazil tudi, da je curl.exe prenesel ScreenConnect.ClientSetup.msi v C:\Windows\TEMP\sc.msi, nato pa ga je msiexec.exe tiho namestil.
• V dnevnikih požarnega zidu, posredniškega strežnika in DNS poiščite IP-naslova 185.99.255[.]28 in 155.94.150[.]39. Poiščite tudi naslednje domene: ns[.]mo7sen[.]dev (vključno s potjo /EadF.php?p=4), sc[.]payproofkit[.]com, cdn007-digitaldownloads[.]com, newnewnew[.]gotdns[.]org in Soxnewwork[.]homedns[.]org.
• Pazite na nepričakovane zahteve za podporo, sporočila o ponastavitvi gesla in prenose programske opreme, ki prihajajo po kanalu, ki mu običajno zaupate.

Če najdete katerega od teh kazalnikov, o tem obvestite ConnectWise in obravnavajte prizadete panele, delovne postaje tehnikov in končne točke kot ogrožene.

Posodobitev 14. novembra 2026

Raziskovalci zdaj imajo verjetno razlago, kako so napadalci prišli noter. Po navedbah podjetja Huntress razširitev RMM+ zaobide uporabniške račune, vloge in MFA v ScreenConnectu. Namesto tega preverja zahteve glede na en sam skupni dostopni ključ, shranjen v nastavitvah razširitve. BleepingComputer in The Register poročata, da imata različici RMM+ 1.0.31 in 1.0.32 napako: če dostopni ključ ni nastavljen, sprejmeta prazen ključ. Zaradi tega so napadalci lahko izvajali ukaze, ne da bi se prijavili v ScreenConnect in ne da bi prestali MFA. Ponastavitev gesel operaterjev in vklop MFA zato ne varujeta primerka, na katerem je RMM+ še vedno omogočen. Za razširitev še ni bila napovedana nobena popravljena različica.

• Preverite, ali so RMM+ in povezane razširitve onemogočene na vseh primerkih, vključno s strežniki na lokaciji. ConnectWise tega zanje tam ne more storiti namesto vas.

• Preglejte zgodovino ukazov Run Command za ukaze, ki so prišli prek RMM+, tudi če dnevniki prijav ne kažejo sumljivih prijav.

• https://www.huntress.com/blog/sckit-worm-rogue-screenconnect

• https://www.bleepingcomputer.com/news/security/new-worm-like-sckit-malware-targets-msps-in-screenconnect-attacks/

• https://www.theregister.com/security/2026/11/12/hackers-exploiting-screenconnect-plugin-flaw-to-spread-malware-across-hundreds-of-pcs/5309361

• https://www.cybersecuritydive.com/news/connectwise-disables-third-party-extensions-cyberattack-ScreenConnect/874490/

Viri

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2026/11/screenconnect-attacks-target-at-least.html