ScreenConnect: ผู้โจมตีเผยแพร่ไคลเอนต์ปลอมและมัลแวร์ SCKit ไปยัง 288 เอนด์พอยต์ที่ถูกจัดการ

สิ่งที่เกิดขึ้น

เมื่อวันที่ 12 พฤศจิกายน 2026 ConnectWise ปิดใช้งานส่วนขยายของบุคคลที่สามสำหรับ ScreenConnect ห้ารายการในสภาพแวดล้อมของพาร์ทเนอร์ เป็นการดำเนินการเชิงป้องกันหลังมีรายงานการเข้าถึงโดยไม่ได้รับอนุญาต ConnectWise ระบุว่าไม่พบช่องโหว่ในซอฟต์แวร์ ScreenConnect และไม่พบการบุกรุกโครงสร้างพื้นฐานของตนเอง การประเมินเบื้องต้นคือ ผู้ไม่หวังดีอาจกำลังใช้ประโยชน์จากส่วนขยายของบุคคลที่สามอิสระที่ติดตั้งในสภาพแวดล้อมของพาร์ทเนอร์ วิธีที่ผู้โจมตีเข้ามาและขอบเขตทั้งหมดยังอยู่ระหว่างการตรวจสอบ

Huntress ก็กำลังติดตามกิจกรรมนี้ ซึ่งตรวจพบครั้งแรกเมื่อวันที่ 11 พฤศจิกายน 2026 เวลาประมาณ 17:47 UTC ตามข้อมูลของ Huntress ผู้โจมตีใช้สิทธิ์เข้าถึงแผง ScreenConnect ที่โฮสต์บนคลาวด์เพื่อส่งคำสั่ง Run คำสั่งเหล่านี้ติดตั้งไคลเอนต์ ScreenConnect ปลอมบนเอนด์พอยต์ที่ถูกจัดการอย่างน้อย 288 เครื่องใน 48 องค์กร Huntress ยังไม่พบหลักฐานของช่องโหว่ใหม่ ข้อมูลปัจจุบันชี้ว่าช่องทางเข้าคือข้อมูลรับรองที่ถูกขโมยหรือเซสชันของผู้ปฏิบัติงานที่ถูกยึด

ไคลเอนต์ปลอมจะนำส่ง SCKit ซึ่งเป็นชุดเครื่องมือมัลแวร์ที่ผู้โจมตีสร้างขึ้นเอง มันทำให้การเข้าถึงระยะไกลยังคงอยู่ได้แม้ไม่มีแผงเดิม นอกจากนี้ยังเพิ่มข้อยกเว้นให้ Microsoft Defender ติดตั้งไคลเอนต์ ScreenConnect ที่สองซึ่งผู้โจมตีควบคุม สร้างงานตามกำหนดเวลาชื่อ "TrapWatch" และสามารถแทนที่การติดตั้ง ScreenConnect ที่ถูกต้องด้วยสำเนาที่ผู้โจมตีควบคุมได้

Huntress วิเคราะห์ payload และพบโค้ดที่ออกแบบมาเพื่อแพร่กระจายต่อ เมื่อช่างเทคนิคเชื่อมต่อกับเอนด์พอยต์ที่ติดไวรัส โค้ดจะขโมยคุกกี้เซสชัน .aspxauth จากเวิร์กสเตชันของช่างเทคนิค จากนั้นใช้คุกกี้นั้นกับแผงอื่น และส่ง payload ไปยังทุกเซสชันที่เข้าถึงได้ผ่าน Shared Toolbox Huntress ระบุว่ายังไม่พบการแพร่กระจายนี้สำเร็จ Sophos รายงานแยกต่างหากเกี่ยวกับการติดตั้งไคลเอนต์ ScreenConnect โดยไม่ได้รับอนุญาตที่มีรูปแบบเดียวกัน

ใครได้รับผลกระทบ

ผลกระทบต่อองค์กรที่ใช้ ConnectWise ScreenConnect เพื่อจัดการเอนด์พอยต์และเซิร์ฟเวอร์ โดยส่วนใหญ่คือ MSP และผู้ให้บริการไอทีการการโจมตีที่พบจนถึงตอนนี้ใช้แผง ScreenConnect ที่โฮสต์บนคลาวด์ ConnectWise พบสภาพแวดล้อมของพาร์ทเนอร์ประมาณ 400 แห่งที่ติดตั้งส่วนขยายอย่างน้อยหนึ่งรายการดังต่อไปนี้:

• Labtech Plus
• RMM Plus
• RMM+
• RMM Plus Password Link
• RMM+ Password Link

ส่วนขยายเหล่านี้มี API ที่รันคำสั่งระยะไกลได้ การเข้าถึงได้รับการป้องกันด้วยpassphrase ที่พาร์ทเนอร์ตั้งค่าระหว่างการติดตั้ง ConnectWise เน้นว่าการมีส่วนขยายเหล่านี้ติดตั้งอยู่ไม่ได้หมายความว่าถูกบุกรุก ยังไม่พบช่องโหว่ใดใน ScreenConnect จึงไม่มีแพตช์ให้ติดตั้ง Huntress ระบุว่าผู้โจมตีกำหนดหมายเลขให้ MSP ที่ถูกบุกรุกตามลำดับ และหมายเลขที่พบเริ่มจากกลางลำดับ MSP รายอื่นจึงอาจถูกโจมตีก่อนหน้านี้แล้ว ด้วยเหตุนี้ Huntress จึงแนะนำให้ผู้ใช้ ScreenConnect ทุกรายตรวจสอบประวัติ Run Command แม้ไม่เคยมีการแจ้งเตือนก็ตาม

สิ่งที่ควรทำตอนนี้

1. หากคุณใช้ ScreenConnect แบบออนพรีมิส ให้ปิดใช้งานส่วนขยายทั้งห้ารายการข้างต้นตามที่ ConnectWise แนะนำ อย่าเปิดใช้งานอีกจนกว่า ConnectWise จะแจ้งว่าปลอดภัย
2. ตรวจสอบว่ามาตรการความปลอดภัยของคุณ (EDR, แอนติไวรัส) ทำงานอยู่บนเวิร์กสเตชันของช่างเทคนิคและเอนด์พอยต์ที่ถูกจัดการ ตรวจสอบข้อยกเว้นของ Microsoft Defender ที่ไม่มีใครในทีมของคุณเพิ่มเข้าไป
3. เก็บรักษาบันทึกการตรวจสอบและเซสชันของ ScreenConnect รวมถึงบันทึกอื่นที่แสดงกิจกรรมน่าสงสัย ก่อนเปลี่ยนแปลงสิ่งใด
4. รีเซ็ตรหัสผ่านของผู้ปฏิบัติงาน ScreenConnect ทั้งหมด ยุติเซสชันผู้ปฏิบัติงานที่ใช้งานอยู่ และตรวจสอบให้แน่ใจว่าเปิดใช้การยืนยันตัวตนหลายปัจจัยสำหรับทุกบัญชี เปลี่ยน passphrase ของ API ของส่วนขยายทั้งหมด
5. ตรวจสอบบัญชีผู้ดูแลระบบและสิทธิ์ในทุกแผง ลบบัญชีและสิทธิ์ที่คุณอธิบายไม่ได้
6. ถือว่าเอนด์พอยต์ใดก็ตามที่มีไคลเอนต์ ScreenConnect ปลอมหรือร่องรอย SCKit เป็นเครื่องที่ถูกบุกรุก แยกเครื่องนั้นออกและตรวจสอบ ทำความสะอาดหรือติดตั้งใหม่ก่อนไว้วางใจอีกครั้ง และตรวจสอบเวิร์กสเตชันของช่างเทคนิคที่เคยเชื่อมต่อกับเครื่องนั้นด้วย

วิธีตรวจสอบว่าคุณถูกโจมตีหรือไม่

• ตรวจสอบประวัติ Run Command ในแผง ScreenConnect ของคุณหาคำสั่งที่ไม่มีใครในทีมรัน โดยเฉพาะตั้งแต่วันที่ 11 พฤศจิกายน 2026 และมองหาการติดตั้งส่วนขยาย กิจกรรม Toolbox และรายการ Shared Toolbox ที่ไม่คาดคิด
• มองหาการลงชื่อเข้าใช้จากตำแหน่งที่ผิดปกติ การล็อกอินล้มเหลวซ้ำ การขอ MFA ที่ไม่คาดคิด บัญชีผู้ดูแลระบบใหม่ และการเปลี่ยนสิทธิ์
• บนเอนด์พอยต์ มองหาไคลเอนต์ ScreenConnect ที่ไม่ใช่ของอินสแตนซ์ของคุณเอง และซอฟต์แวร์การเข้าถึงระยะไกลอื่นที่คุณไม่ได้อนุมัติ Sophos เชื่อมโยงกิจกรรมนี้กับ ID อินสแตนซ์ ScreenConnect d905b2b1b165d0a9, 4b8f4089ddaac6a9 และ df1f7ef0cfacd0d8 และ ID อินสแตนซ์เพิ่มเติม 2588ef5c15954b10 และ ed630cc2c873b091
• ค้นหาในเอนด์พอยต์หางานตามกำหนดเวลาชื่อ "TrapWatch" และไฟล์เหล่านี้: sckit-run.bat, sckit-decoder.ps1, TrapWatch.ps1, Panel-Lateral.ps1, Run-Lateral-Full.bat, runnew.cmd, ToolboxRelayUploader.exe และ Sqlite3.exe Sophos ยังพบว่า curl.exe ดาวน์โหลด ScreenConnect.ClientSetup.msi ไปยัง C:\Windows\TEMP\sc.msi ซึ่ง msiexec.exe จากนั้นติดตั้งแบบเงียบ
• ค้นหาในบันทึกของไฟร์วอลล์ พร็อกซี และ DNS สำหรับ IP 185.99.255[.]28 และ 155.94.150[.]39 และค้นหาโดเมนเหล่านี้: ns[.]mo7sen[.]dev (รวมพาธ /EadF.php?p=4), sc[.]payproofkit[.]com, cdn007-digitaldownloads[.]com, newnewnew[.]gotdns[.]org และ Soxnewwork[.]homedns[.]org
• ระวังคำขอความช่วยเหลือ ข้อความรีเซ็ตรหัสผ่าน หรือการดาวน์โหลดซอฟต์แวร์ที่ไม่คาดคิดซึ่งมาทางช่องทางที่คุณปกติไว้ใจ

หากคุณพบตัวบ่งชี้เหล่านี้ใด ๆ โปรดรายงานให้ ConnectWise และถือว่าแผง เวิร์กสเตชันของช่างเทคนิค และเอนด์พอยต์ที่เกี่ยวข้องเป็นเครื่องที่ถูกบุกรุก

อัปเดต 14 พฤศจิกายน 2026

นักวิจัยมีคำอธิบายที่เป็นไปได้สำหรับวิธีที่ผู้โจมตีเข้ามาได้แล้ว ตามรายงานของ Huntress ส่วนขยาย RMM+ จะข้ามบัญชีผู้ใช้ บทบาท และ MFA ของ ScreenConnect แทนที่จะเป็นเช่นนั้น ส่วนขยายจะตรวจสอบคำขอกับคีย์การเข้าถึงที่ใช้ร่วมกันเพียงคีย์เดียว ซึ่งจัดเก็บไว้ในการตั้งค่าของส่วนขยาย BleepingComputer และ The Register รายงานว่า RMM+ เวอร์ชัน 1.0.31 และ 1.0.32 มีช่องโหว่: หากยังไม่ได้ตั้งค่าคีย์การเข้าถึง ระบบจะยอมรับคีย์ที่เป็นค่าว่าง ช่องโหว่นี้ทำให้ผู้โจมตีสามารถรันคำสั่งได้โดยไม่ต้องลงชื่อเข้าใช้ ScreenConnect และโดยไม่ต้องผ่าน MFA ดังนั้น การรีเซ็ตรหัสผ่านของผู้ปฏิบัติงานและการเปิดใช้ MFA จึงไม่สามารถป้องกันอินสแตนซ์ที่ยังเปิดใช้ RMM+ อยู่ได้ ยังไม่มีการประกาศเวอร์ชันที่แก้ไขแล้วของส่วนขยายนี้

• ตรวจสอบให้แน่ใจว่าได้ปิดใช้งาน RMM+ และส่วนขยายที่เกี่ยวข้องทั้งหมดในทุกอินสแตนซ์ รวมถึงเซิร์ฟเวอร์แบบ on-premises ConnectWise ไม่สามารถปิดใช้งานให้คุณในส่วนนั้นได้

• ตรวจสอบประวัติ Run Command ของคุณเพื่อหาคำสั่งที่มาผ่าน RMM+ แม้ว่าบันทึกการลงชื่อเข้าใช้ของคุณจะไม่แสดงการเข้าสู่ระบบที่น่าสงสัยก็ตาม

• https://www.huntress.com/blog/sckit-worm-rogue-screenconnect

• https://www.bleepingcomputer.com/news/security/new-worm-like-sckit-malware-targets-msps-in-screenconnect-attacks/

• https://www.theregister.com/security/2026/11/12/hackers-exploiting-screenconnect-plugin-flaw-to-spread-malware-across-hundreds-of-pcs/5309361

• https://www.cybersecuritydive.com/news/connectwise-disables-third-party-extensions-cyberattack-ScreenConnect/874490/

แหล่งข้อมูล

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2026/11/screenconnect-attacks-target-at-least.html