Aktívna kampaň zneužíva partnerské prostredia ScreenConnect
ConnectWise vyšetruje neoprávnený prístup do niektorých partnerských prostredí ScreenConnect. Huntress zaznamenal najmenej 288 zasiahnutých hostiteľov v 48 organizáciách.
Kampaň ScreenConnect zneužíva niektoré partnerské prostredia poskytovateľov spravovaných služieb (MSP). ConnectWise potvrdil hlásenia o neoprávnenom prístupe a o nasadení neautorizovaného softvéru vzdialeného prístupu u zákazníkov. Spoločnosť zároveň uvádza, že zatiaľ nemá dôkaz o kompromitácii vlastnej infraštruktúry ani o zraniteľnosti samotného produktu ScreenConnect.
Podľa telemetrie bezpečnostnej firmy Huntress bolo zasiahnutých najmenej 288 hostiteľov v 48 organizáciách, ktoré využívajú jej službu. Tieto počty nepredstavujú úplný rozsah incidentu, ale potvrdzujú, že ide o aktívnu kampaň s dopadom na prostredia MSP a ich zákazníkov.
Kampaň ScreenConnect využíva vzdialené príkazy
Huntress uviedol, že útočník v kompromitovaných prostrediach využíval funkciu Run Command. Cez ňu nasadzoval cudzie klienty ScreenConnect a nástroj SCKit.
ConnectWise preventívne deaktivoval päť nezávislých rozšírení v približne 400 partnerských prostrediach. Prítomnosť takéhoto rozšírenia ani samotný počet dotknutých prostredí však neznamenajú, že boli všetky kompromitované. Ide o preventívne opatrenie počas vyšetrovania.
Spoločnosť predbežne spája aktivitu so zneužitím nezávislých rozšírení. Huntress konkrétne pripisuje incident chybe autentifikácie v rozšírení RMM+ vo verziách 1.0.31 a 1.0.32, ak nebol nastavený prístupový kľúč. ConnectWise túto konkrétnu príčinu vo svojom aktuálnom oznámení nepotvrdil.
Riziko pre MSP a ich zákazníkov
MSP spravujú zariadenia a systémy viacerých zákazníkov, často s privilegovaným prístupom. Kompromitovaný panel môže útočníkovi umožniť hromadne doručiť vzdialený prístup do zariadení spravovaných zákazníkov.
Prípad zároveň nepredstavuje potvrdený exploit jadra ScreenConnectu. Dostupné zistenia hovoria o zneužití prístupu v partnerských prostrediach a možnej úlohe rozšírenia tretej strany. Počiatočný vektor prístupu, identita útočníka, úplný počet zasiahnutých MSP a organizácií aj celkový rozsah incidentu zostávajú neoverené.
Huntress analyzoval aj schopnosť nástroja SCKit šíriť sa z infikovaného endpointu cez zariadenia technikov na ďalšie systémy. Tento mechanizmus podľa firmy existuje, no v aktuálne sledovaných prípadoch jeho úspešné využitie nezaznamenala.
Odporúčané kroky pre správcov ScreenConnectu
ConnectWise odporúča vypnúť dotknuté rozšírenia, zrušiť aktívne relácie, zmeniť relevantné heslá a preveriť nastavenie viacfaktorovej autentifikácie. Správcovia by mali skontrolovať aj logy na nezvyčajné príkazy, relácie a inštalácie nástrojov vzdialeného prístupu.
Podozrivé zariadenia je vhodné izolovať a preveriť ich na známky perzistencie či ďalší neautorizovaný softvér. Samotné vypnutie rozšírenia nemusí odstrániť už zavedený prístup útočníka ani perzistenciu.
Ďalšie vyšetrovanie by malo objasniť počiatočný vektor, úlohu RMM+ a zverejniť prípadné nové indikátory kompromitácie či pokyny na eradikáciu. Dôležité bude tiež zistiť, či sa potvrdí šírenie cez pracovné stanice technikov alebo následné nasadenie ďalšieho malvéru.
Zdroje
- ConnectWise Trust Center — ScreenConnect security advisory – Potvrdzuje vyšetrovanie neoprávneného prístupu, preventívne vypnutie piatich rozšírení približne v 400 prostrediach, absenciu dôkazu o chybe ScreenConnectu a opatrenia pre partnerov.
- Huntress — SCKit Worm Installs Rogue ScreenConnect Clients and Session Cookie Relays Across Hundreds of Endpoints – Dokumentuje vlastnú telemetriu Huntress o najmenej 288 hostiteľoch v 48 organizáciách, použitie Run Command a technické zistenia o SCKit a RMM+.
- BleepingComputer — Active ScreenConnect attacks breach MSPs, impact dozens of organizations – Nezávisle sumarizuje priebeh aktívnej kampane, reakciu ConnectWise a varovania pre MSP.
Overené a aktualizované: 12. 11. 2026 06:25
