SCKit versucht, ScreenConnect-Angriffe auf weitere Kundennetze auszudehnen
BleepingComputer berichtete am 12. November über SCKit, ein wurmartiges Malware-Toolkit aus 16 Skripten und Komponenten, das in aktuellen ScreenConnect-Angriffen gegen Managed-Service-Provider eingesetzt wurde. Das Toolkit soll von einem infizierten Kundengerät auf den Computer eines MSP-Technikers überspringen und danach weitere verwaltete Netze kompromittieren.
Nach Angaben von Huntress und Blackpoint Cyber ist dieser Ausbreitungsweg bislang jedoch nicht erfolgreich beobachtet worden. Blackpoint habe den Angriff gegen einen gepatchten ScreenConnect-Client getestet und keine Ausführung erreicht. Die Forscher erklärten laut BleepingComputer, es gebe derzeit keinen Nachweis für eine erfolgreiche Ausnutzung oder einen Umgehungsweg.
Die Schadsoftware versucht, die Client-Schwachstelle CVE-2026-84869 auszunutzen. ConnectWise behob sie laut den Forschern mit ScreenConnect 26.6.5. Unter normalen Bedingungen können Techniker Dateien an verwaltete Endgeräte senden und dort ausführen. SCKit versucht stattdessen, über den infizierten Guest-Prozess eine Datei zurück an den Rechner des Technikers zu senden und dort ausführen zu lassen.
Huntress und Blackpoint zufolge ersetzt eine SCKit-Komponente namens RelayTrap den legitimen ScreenConnect-Guest-Prozess und wartet auf eine interaktive Support-Sitzung. TrapWatch überwacht dabei ScreenConnect-Dienste. Gelangt die Schadsoftware auf den Technikerrechner, versucht sie laut den Forschern, Authentifizierungs-Cookies aus Browsern zu stehlen und die bestehende ScreenConnect-Sitzung ohne neue Anmeldung oder Multifaktorprüfung zu missbrauchen.
Der aktuelle Angriff begann nach Einschätzung von Huntress über die Erweiterung RMM+. Die Versionen 1.0.31 und 1.0.32 enthielten demnach einen Authentifizierungsfehler: War noch kein gemeinsamer Zugriffsschlüssel konfiguriert, akzeptierte die Erweiterung einen leeren Schlüssel und erlaubte Befehle ohne Anmeldung an ScreenConnect oder abgeschlossene Multifaktorprüfung. ConnectWise deaktivierte nach Angaben von BleepingComputer fünf möglicherweise beteiligte Erweiterungen in rund 400 Partnerumgebungen, ohne daraus eine Kompromittierung dieser Umgebungen abzuleiten.
Huntress meldete mindestens 288 betroffene Endgeräte in 48 Organisationen. Alle betroffenen Geräte seien innerhalb von 90 Minuten angegriffen worden; etwa ein Drittel innerhalb der ersten zehn Minuten. Die Angreifer installierten laut dem Bericht zusätzliche ScreenConnect-Access-Clients, die Verbindungen zu von ihnen kontrollierten Servern aufbauten.
Huntress und Blackpoint empfehlen MSPs, die betroffenen Drittanbieter-Erweiterungen zu deaktivieren, ScreenConnect-Clients zu aktualisieren und nach nicht autorisierten Remote-Access-Installationen zu suchen. Betreiber sollen außerdem Aktivitäten über Run Command und Shared Toolbox prüfen. Die Forscher raten, interaktive ScreenConnect-Sitzungen mit möglicherweise infizierten Endgeräten zu vermeiden und die Untersuchung stattdessen mit getrennten Sicherheitswerkzeugen durchzuführen.