ScreenConnect: Saldırganlar 288 yönetilen uç noktaya sahte istemciler ve SCKit zararlı yazılımını gönderiyor

Ne oldu

12 Kasım 2026'da ConnectWise, yetkisiz erişim bildirimlerinin ardından partner ortamlarındaki beş üçüncü taraf ScreenConnect eklentisini önlem olarak devre dışı bıraktı. ConnectWise, ScreenConnect yazılımında herhangi bir güvenlik açığı ve kendi altyapısında herhangi bir ihlal bulmadığını belirtiyor. Şirketin ilk değerlendirmesine göre, bir tehdit aktörü partner ortamlarına kurulan bağımsız üçüncü taraf eklentilerini kötüye kullanıyor olabilir. Saldırganların sisteme nasıl girdiği ve etkinin tam kapsamı hâlâ incelenmektedir.

Huntress de bu faaliyeti izliyor. Şirket, faaliyeti ilk kez 11 Kasım 2026 tarihinde yaklaşık 17:47 UTC saatinde tespit etti. Huntress'e göre saldırganlar, bulutta barındırılan ScreenConnect panellerine erişerek Run komutları gönderdi. Bu komutlar, 48 kuruluştaki en az 288 yönetilen uç noktaya sahte ScreenConnect istemcileri yükledi. Huntress, yeni bir güvenlik açığına dair bir kanıt görmediğini belirtiyor. Mevcut verilere göre giriş yolu, çalınmış kimlik bilgileri veya ele geçirilmiş operatör oturumları olabilir.

Sahte istemciler, özel bir kötü amaçlı araç seti olan SCKit'i indiriyor. Bu araç, özgün panel olmasa bile uzaktan erişimi açık tutuyor. Ayrıca Microsoft Defender istisnaları ekliyor, saldırganların kontrolündeki ikinci bir ScreenConnect istemcisini kuruyor, "TrapWatch" adlı zamanlanmış bir görev oluşturuyor ve meşru ScreenConnect kurulumunu saldırganın kontrolündeki bir kopyayla değiştirebiliyor.

Huntress, yük dosyalarını analiz etti ve yayılmayı amaçlayan bir kod buldu. Bir teknisyen enfekte bir uç noktaya bağlandığında bu kod, teknisyenin iş istasyonundaki .aspxauth oturum çerezini çalabilir. Ardından bu çerezi diğer panellerde kullanarak Shared Toolbox üzerinden ulaşılabilen her oturuma bir yük gönderebilir. Huntress, bu yayılmanın henüz başarılı olduğunu görmediğini belirtiyor. Sophos ise aynı örüntüyü izleyen yetkisiz ScreenConnect istemci dağıtımlarını ayrıca bildirdi.

Kimler etkileniyor

Bu durum, uç noktaları ve sunucuları yönetmek için ConnectWise ScreenConnect kullanan kuruluşları, özellikle MSP'leri ve BT hizmet sağlayıcılarını etkiliyor. Şimdiye kadar görülen saldırılarda bulutta barındırılan ScreenConnect panelleri kullanıldı. ConnectWise, bu eklentilerden en az birini yüklü olan yaklaşık 400 partner ortamı tespit etti:

• Labtech Plus
• RMM Plus
• RMM+
• RMM Plus Password Link
• RMM+ Password Link

Bu eklentiler, uzak komutları çalıştırabilen bir API sağlıyor. Bu API'ye erişim, partnerin kurulum sırasında belirlediği bir parola ifadesiyle korunuyor. ConnectWise, bu eklentilerden birinin yüklü olmasının sistemin ele geçirildiği anlamına gelmediğini vurguluyor. Herhangi bir ScreenConnect güvenlik açığı tespit edilmedi, dolayısıyla yüklenecek bir yama da bulunmuyor. Huntress, saldırganların ele geçirilen her MSP'yi sırayla numaralandırdığını ve gördükleri numaraların ortasından başladığını belirtti. Bu nedenle diğer MSP'ler daha önce hedef alınmış olabilir. Huntress, bu yüzden tüm ScreenConnect kullanıcılarına uyarı almamış olsalar bile Run Command geçmişlerini kontrol etmelerini öneriyor.

Şimdi ne yapmalısınız

1. ScreenConnect'i şirket içinde çalıştırıyorsanız, ConnectWise'in istediği gibi yukarıda listelenen beş eklentiyi devre dışı bırakın. ConnectWise güvenli olduğunu bildirene kadar bunları yeniden etkinleştirmeyin.
2. Teknisyen iş istasyonlarında ve yönetilen uç noktalarda güvenlik kontrollerinizin (EDR, antivirüs) çalıştığını doğrulayın. Ekibinizdeki hiç kimsenin eklemediği Microsoft Defender istisnaları olup olmadığını kontrol edin.
3. Herhangi bir şeyi değiştirmeden önce ScreenConnect denetim ve oturum günlüklerini ve şüpheli etkinlik gösteren diğer tüm günlükleri saklayın.
4. Tüm ScreenConnect operatörlerinin parolalarını sıfırlayın, etkin operatör oturumlarını sonlandırın ve her hesap için çok faktörlü kimlik doğrulamanın açık olduğundan emin olun. Eklenti API'lerinin parola ifadelerini değiştirin.
5. Her panelde yönetici hesaplarını ve yetkileri gözden geçirin. Açıklayamadığınız hesapları ve yetkileri kaldırın.
6. Sahte bir ScreenConnect istemcisi veya SCKit izi bulunan her uç noktayı ele geçirilmiş kabul edin. Uç noktayı izole edip inceleyin. Güvenmeden önce temizleyin veya yeniden kurun. Ayrıca bu uç noktaya bağlanan teknisyenlerin iş istasyonlarını da kontrol edin.

Etkilenip etkilenmediğinizi nasıl kontrol edersiniz

• ScreenConnect panellerinizdeki Run Command geçmişini inceleyin; özellikle 11 Kasım 2026'dan itibaren ekibinizden hiç kimsenin çalıştırmadığı komutları arayın. Ayrıca beklenmeyen eklenti kurulumlarını, Toolbox etkinliğini ve Shared Toolbox öğelerini kontrol edin.
• Olağandışı konumlardan yapılan oturum açmaları, tekrarlanan başarısız girişler, beklenmeyen MFA istemleri, yeni yönetici hesapları ve yetki değişikliklerini arayın.
• Uç noktalarda, kendi örneğinize ait olmayan ScreenConnect istemcilerini ve onaylamadığınız diğer uzak erişim yazılımlarını arayın. Sophos, bu etkinliği ScreenConnect örnek kimlikleri d905b2b1b165d0a9, 4b8f4089ddaac6a9 ve df1f7ef0cfacd0d8 ile ek örnek kimlikleri 2588ef5c15954b10 ve ed630cc2c873b091 ile ilişkilendirdi.
• Uç noktalarda "TrapWatch" adlı zamanlanmış görevi ve şu dosyaları arayın: sckit-run.bat, sckit-decoder.ps1, TrapWatch.ps1, Panel-Lateral.ps1, Run-Lateral-Full.bat, runnew.cmd, ToolboxRelayUploader.exe ve Sqlite3.exe. Sophos ayrıca curl.exe'nin ScreenConnect.ClientSetup.msi dosyasını C:\Windows\TEMP\sc.msi konumuna indirdiğini ve ardından msiexec.exe'nin bunu sessizce kurduğunu gözlemledi.
• Güvenlik duvarı, proxy ve DNS günlüklerinde 185.99.255[.]28 ve 155.94.150[.]39 IP adreslerini arayın. Ayrıca şu alan adlarını arayın: ns[.]mo7sen[.]dev (/EadF.php?p=4 yolu dahil), sc[.]payproofkit[.]com, cdn007-digitaldownloads[.]com, newnewnew[.]gotdns[.]org ve Soxnewwork[.]homedns[.]org.
• Normalde güvendiğiniz bir kanaldan gelen beklenmeyen destek talepleri, parola sıfırlama mesajları ve yazılım indirmelerine dikkat edin.

Bu göstergelerden herhangi birini tespit ederseniz bunları ConnectWise'e bildirin ve etkilenen panelleri, teknisyen iş istasyonlarını ve uç noktaları ele geçirilmiş kabul edin.

Güncelleme 14 Kasım 2026

Araştırmacılar, saldırganların sisteme nasıl girdiğine dair olası bir açıklamaya artık sahip. Huntress'e göre RMM+ eklentisi, ScreenConnect'in kullanıcı hesaplarını, rollerini ve MFA'sını atlıyor. Bunun yerine istekleri, eklentinin ayarlarında saklanan tek bir paylaşılan erişim anahtarına karşı denetliyor. BleepingComputer ve The Register, RMM+ sürüm 1.0.31 ve 1.0.32'de bir kusur bulunduğunu bildiriyor: hiçbir erişim anahtarı yapılandırılmamışsa, bu sürümler boş bir anahtarı kabul ediyor. Bu durum, saldırganların ScreenConnect'e oturum açmadan ve MFA'yı geçmeden komut çalıştırmasına olanak tanıdı. Bu nedenle operatör parolalarını sıfırlamak ve MFA'yı etkinleştirmek, RMM+ hâlâ etkin olan bir örneği korumaz. Eklentinin henüz düzeltilmiş bir sürümü duyurulmadı.

• RMM+ ve ilgili eklentilerin, şirket içi sunucular dahil her örnekte devre dışı bırakıldığından emin olun. ConnectWise bu eklentileri orada sizin yerinize devre dışı bırakamaz.

• Oturum açma günlükleriniz şüpheli bir giriş göstermese bile, RMM+ üzerinden gelen komutlar için Run Command geçmişinizi gözden geçirin.

• https://www.huntress.com/blog/sckit-worm-rogue-screenconnect

• https://www.bleepingcomputer.com/news/security/new-worm-like-sckit-malware-targets-msps-in-screenconnect-attacks/

• https://www.theregister.com/security/2026/11/12/hackers-exploiting-screenconnect-plugin-flaw-to-spread-malware-across-hundreds-of-pcs/5309361

• https://www.cybersecuritydive.com/news/connectwise-disables-third-party-extensions-cyberattack-ScreenConnect/874490/

Kaynaklar

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2026/11/screenconnect-attacks-target-at-least.html