ScreenConnect: angripare sprider skadliga klienter och SCKit-malware till 288 hanterade enheter

Vad hände

Den 12 november 2026 inaktiverade ConnectWise fem tredjepartstillägg för ScreenConnect i partnermiljöer. Det gjordes som försiktighetsåtgärd efter rapporter om obehörig åtkomst. ConnectWise uppger att man inte har hittat någon sårbarhet i ScreenConnect-programvaran och ingen komprometterning av sin egen infrastruktur. Den första bedömningen är att en hotaktör kan missbruka oberoende tredjepartstillägg som installerats i partnermiljöer. Hur angriparna kom in och den fullständiga omfattningen utreds fortfarande.

Huntress följer också aktiviteten, som första gången upptäcktes den 11 november 2026 vid cirka 17:47 UTC. Enligt Huntress använde angriparna åtkomst till molnhostade ScreenConnect-paneler för att skicka Run-kommandon. Dessa kommandon installerade skadliga ScreenConnect-klienter på minst 288 hanterade enheter i 48 organisationer. Huntress har inte sett några bevis för en ny sårbarhet. Dess aktuella data pekar på stulna inloggningsuppgifter eller kapade operatörssessioner som ingångsväg.

De skadliga klienterna levererar SCKit, ett egenutvecklat skadligt verktygspaket. Det håller fjärråtkomsten öppen även utan den ursprungliga panelen. Det lägger också till undantag i Microsoft Defender, installerar en andra ScreenConnect-klient under angriparens kontroll, skapar en schemalagd aktivitet med namnet "TrapWatch" och kan ersätta den legitima ScreenConnect-installationen med en kopia under angriparens kontroll.

Huntress analyserade nyttolasterna och hittade kod avsedd att sprida sig vidare. När en tekniker ansluter till en infekterad enhet skulle koden stjäla sessionskakan .aspxauth från teknikerns arbetsstation. Den skulle sedan använda kakan på andra paneler och skicka en nyttolast till varje nåbar session via Shared Toolbox. Huntress säger att man ännu inte har sett att spridningen lyckats. Sophos har separat rapporterat obehöriga ScreenConnect-klientinstallationer som följer samma mönster.

Vem som drabbas

Det här påverkar organisationer som använder ConnectWise ScreenConnect för att hantera enheter och servrar, främst MSP:er och IT-leverantörer. Attackerna som hittills setts använde molnhostade ScreenConnect-paneler. ConnectWise har hittat cirka 400 partnermiljöer med minst ett av följande tillägg installerat:

• Labtech Plus
• RMM Plus
• RMM+
• RMM Plus Password Link
• RMM+ Password Link

Dessa tillägg tillhandahåller ett API som kan köra fjärrkommandon. Åtkomsten till det skyddas av ett lösenord som partnern anger vid installationen. ConnectWise betonar att det inte innebär att du är komprometterad om något av dessa tillägg är installerat. Ingen sårbarhet i ScreenConnect har identifierats, så det finns ingen patch att installera. Huntress noterade att angriparna numrerar varje komprometterad MSP i följd, och de nummer man har sett börjar mitt i en serie. Andra MSP:er kan alltså ha drabbats tidigare. Därför uppmanar Huntress alla ScreenConnect-användare att kontrollera sin historik för Run Command, även om de inte har fått några larm.

Vad du ska göra nu

1. Om du kör ScreenConnect lokalt, inaktivera de fem tilläggen som listas ovan, som ConnectWise begär. Aktivera dem inte igen förrän ConnectWise säger att det är säkert.
2. Kontrollera att dina säkerhetsskydd (EDR, antivirus) körs på teknikernas arbetsstationer och på hanterade enheter. Kontrollera efter undantag i Microsoft Defender som ingen i ditt team har lagt till.
3. Spara ScreenConnect-revisionsloggarna och sessionsloggarna samt andra loggar som visar misstänkt aktivitet innan du ändrar något.
4. Återställ lösenorden för alla ScreenConnect-operatörer, avsluta aktiva operatörssessioner och se till att multifaktorautentisering är aktiverad för varje konto. Byt lösenfraserna för alla tilläggens API:er.
5. Granska administratörskonton och behörigheter i varje panel. Ta bort konton och rättigheter du inte kan förklara.
6. Behandla varje enhet med en skadlig ScreenConnect-klient eller SCKit-artefakter som komprometterad. Isolera den och undersök den. Rensa eller bygg om den innan du litar på den igen. Kontrollera också arbetsstationerna för tekniker som anslöt till den.

Så kontrollerar du om du har drabbats

• Granska historiken för Run Command i dina ScreenConnect-paneler efter kommandon som ingen i ditt team kört, särskilt sedan 11 november 2026. Leta också efter oväntade tilläggsinstallationer, Toolbox-aktivitet och objekt i Shared Toolbox.
• Leta efter inloggningar från ovanliga platser, upprepade misslyckade inloggningar, oväntade MFA-förfrågningar, nya administratörskonton och behörighetsändringar.
• På enheter, leta efter ScreenConnect-klienter som inte tillhör din egen instans och efter annan fjärråtkomstprogramvara du inte godkänt. Sophos kopplade aktiviteten till ScreenConnect-instans-ID:na d905b2b1b165d0a9, 4b8f4089ddaac6a9 och df1f7ef0cfacd0d8, samt till de ytterligare instans-ID:na 2588ef5c15954b10 och ed630cc2c873b091.
• Sök på enheter efter en schemalagd aktivitet med namnet "TrapWatch" och efter dessa filer: sckit-run.bat, sckit-decoder.ps1, TrapWatch.ps1, Panel-Lateral.ps1, Run-Lateral-Full.bat, runnew.cmd, ToolboxRelayUploader.exe och Sqlite3.exe. Sophos såg också att curl.exe laddade ned ScreenConnect.ClientSetup.msi till C:\Windows\TEMP\sc.msi, som msiexec.exe sedan installerade tyst.
• Sök i brandvägg-, proxy- och DNS-loggar efter IP-adresserna 185.99.255[.]28 och 155.94.150[.]39. Sök också efter dessa domäner: ns[.]mo7sen[.]dev (inklusive sökvägen /EadF.php?p=4), sc[.]payproofkit[.]com, cdn007-digitaldownloads[.]com, newnewnew[.]gotdns[.]org och Soxnewwork[.]homedns[.]org.
• Var uppmärksam på oväntade supportförfrågningar, meddelanden om lösenordsåterställning och programvarunedladdningar som kommer via en kanal du normalt litar på.

Om du hittar någon av dessa indikatorer, rapportera dem till ConnectWise och behandla de berörda panelerna, teknikernas arbetsstationer och enheterna som komprometterade.

Uppdatering 14 november 2026

Forskarna har nu en sannolik förklaring till hur angriparna kom in. Enligt Huntress hoppar tillägget RMM+ över ScreenConnects användarkonton, roller och MFA. I stället kontrollerar det förfrågningar mot en gemensam åtkomstnyckel som lagras i tilläggets inställningar. BleepingComputer och The Register rapporterar att RMM+ versionerna 1.0.31 och 1.0.32 har en brist: om ingen åtkomstnyckel har konfigurerats godtar de en tom nyckel. Det gjorde att angripare kunde köra kommandon utan att logga in i ScreenConnect och utan att passera MFA. Att återställa operatörslösenord och aktivera MFA skyddar därför inte en instans där RMM+ fortfarande är aktiverat. Ingen rättad version av tillägget har meddelats ännu.

• Se till att RMM+ och relaterade tillägg är inaktiverade på varje instans, inklusive lokala servrar. ConnectWise kan inte inaktivera dem där åt dig.

• Granska din historik för Run Command efter kommandon som kom via RMM+, även om dina inloggningsloggar inte visar några misstänkta inloggningar.

• https://www.huntress.com/blog/sckit-worm-rogue-screenconnect

• https://www.bleepingcomputer.com/news/security/new-worm-like-sckit-malware-targets-msps-in-screenconnect-attacks/

• https://www.theregister.com/security/2026/11/12/hackers-exploiting-screenconnect-plugin-flaw-to-spread-malware-across-hundreds-of-pcs/5309361

• https://www.cybersecuritydive.com/news/connectwise-disables-third-party-extensions-cyberattack-ScreenConnect/874490/

Källor

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2026/11/screenconnect-attacks-target-at-least.html