Злоумышленники, предположительно, использовали расширения RMM+ в ScreenConnect
11 ноября 2026 года ConnectWise расследовала несанкционированный доступ к учётным записям партнёров ScreenConnect и установку вредоносного ПО для удалённого доступа в средах клиентов. По предварительной оценке, активность могла быть связана со злоупотреблением сторонними расширениями, разработанными независимо от ConnectWise, в частности семейством RMM+, а не с уязвимостью или компрометацией инфраструктуры компании. ConnectWise обнаружила затронутые расширения примерно в 400 партнёрских средах и отключила пять расширений.
Расширения и действия на конечных точках
Расширения RMM+ содержали API для удалённого выполнения команд с помощью парольной фразы, настроенной партнёром. Экземпляры ScreenConnect, доступные из интернета, давали злоумышленникам возможность удалённо администрировать управляемые конечные точки.
Исследователи связали активность с SCKit, набором инструментов ВПО для установки несанкционированных клиентов ScreenConnect и закрепления в системе. Как минимум на 288 конечных точках 48 организаций злоумышленники выполняли следующие действия:
- запускали команды с привилегиями SYSTEM;
- создавали исключения для Microsoft Defender;
- устанавливали запланированную задачу TrapWatch;
- останавливали легитимные клиенты ScreenConnect, чтобы их место занимали поддельные клиенты.
ВПО обеспечивало альтернативный путь доступа, который мог сохраниться после удаления расширений или смены учётных данных. На некоторых системах, по сообщениям, после устранения инцидента происходило повторное заражение. SCKit также мог собирать сведения о сессиях ScreenConnect и нацеливаться на рабочие станции технических специалистов.
Попытки распространения и возможный масштаб активности
Механизм распространения второго этапа пытался перехватывать активные сессии технических специалистов и использовать доверенный доступ ScreenConnect для доставки полезных нагрузок на дополнительные системы. Во всех восстановленных инцидентах, изученных исследователями, попытки перехватить консоли завершились неудачей. При этом такая функциональность создавала потенциал для перемещения внутри сетей клиентов.
Расследователи зафиксировали последовательную нумерацию скомпрометированных провайдеров, а также похожую активность, связанную с дополнительными идентификаторами экземпляров ScreenConnect. Эти данные указывают на возможное воздействие кампании на большее число сред, чем подтверждено на данный момент.
Активность могла начаться до публичного раскрытия. Загруженный на VirusTotal 25 июля 2026 года вредоносный пакетный файл содержал ссылку на несанкционированный идентификатор клиента ScreenConnect, позднее связанный с SCKit. Прямую связь этого файла с ноябрьскими вторжениями пока не подтвердили.
Наибольшему риску подвергаются организации, использующие облачные экземпляры ScreenConnect или экземпляры, доступные из внешних сетей, с устаревшими расширениями RMM+. Одного удаления расширений или смены учётных данных может быть недостаточно для устранения несанкционированных клиентов, запланированных задач, ВПО и других механизмов закрепления.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
