Продолжающаяся кампания, направленная против развертываний ConnectWise ScreenConnect, включает в себя использование теперь исправленного критического уязвимости безопасности в программном обеспечении удаленного доступа, а не новой уязвимости, как выяснилось.
Группа преследования злоумышленников (APG) компании Blackpoint Cyber, которая поделилась подробностями с The Hacker News, заявила, что обнаруженный набор инструментов злоумышленника использует CVE-2026-84869 (оценка CVSS: 9,9) — уязвимость, связанную с некорректным управлением привилегиями и отсутствием авторизации, которая может позволить злоумышленнику передавать файлы и выполнять команды через активную сессию удаленного доступа без авторизации или подтверждения хоста.
Компания по кибербезопасности подтвердила, что тестирование на полностью обновленном клиенте ScreenConnect успешно предотвращает выполнение полезной нагрузки эксплойта.
«Наше тестирование подтвердило, что эксплойт нацелен на CVE-2026-84869 и что существующий патч успешно блокирует его», — заявили исследователи APG Сэм Декер и Неван Бил. «Это важное открытие для команд безопасности».
«Однако набор инструментов также включает возможности для перехвата аутентифицированных сессий оператора и использования законных функций управления ScreenConnect для распространения вредоносного кода. Установка патча устраняет известную уязвимость, но не устраняет риски, связанные с скомпрометированной сессией оператора».
Примечательно, что вредоносное ПО SCKit содержит функцию под названием RelayTrap для обратного перенаправления с целью заражения рабочих станций технических специалистов, которые пытаются расследовать подозрительную активность на управляемом конечной точке. Другими словами, эта активность злоупотребляет доверенными функциями и не полагается на уязвимость программного обеспечения после того, как злоумышленник получает действительную сессию.
Атака использует встроенную в платформу функцию «Run Command» для выполнения команд. Это включает в себя первоначальную проверку наличия установки ScreenConnect перед загрузкой и запуском контролируемого злоумышленником MSI-установщика («sc.msi»), который затем доставляет скрипт-дроппер («sckit-run.bat»).
Скрипт-дроппер затем связывается с «ns.mo7sen[.]dev» для получения PowerShell-декодера («sckit-decoder.ps1») и, в конечном итоге, развертывания различных компонентов, связанных с набором инструментов SCKit.
Это включает в себя PowerShell-скрипт («SilentForceInstall-WithUninstall.ps1»), используемый для установления постоянного удаленного доступа путем развертывания двух неавторизованных клиентов ScreenConnect Access, а также набор скриптов и C#-код, предназначенный для вмешательства в существующие сессии ScreenConnect Guest, включая RelayTrap.
Компонент пытается выполнить технику выполнения файлов от гостя к хосту, связанную с CVE-2026-84869, заменяя законный ScreenConnect Guest и отправляя полезную нагрузку SCKit обратно подключающемуся техническому специалисту для выполнения.
Если это действие успешно, вредоносное ПО пытается восстановить аутентифицированные браузерные сессии ScreenConnect технического специалиста и использовать их существующие права управления для распространения команд на другие конечные точки, к которым у них есть доступ. В результате злоумышленник может выйти за пределы исходной скомпрометированной системы и проникнуть в другие клиентские среды через ту же инфраструктуру, которая используется для их администрирования.
«Поскольку эти команды выполнялись через существующие агенты ScreenConnect, злоумышленники могли развертывать дополнительное программное обеспечение в контексте NT AUTHORITY\SYSTEM, не нуждаясь в установлении отдельного метода выполнения на каждой машине», — заявили в Blackpoint Cyber.
«Неавторизованные клиенты Access предоставляют злоумышленникам постоянный контроль над конечной точкой, в то время как компоненты RelayTrap позиционируют вредоносное ПО для перехвата законных соединений поддержки. Вместо того чтобы просто мешать администраторам получать доступ к зараженной машине, набор инструментов пытается использовать их следующее соединение как возможность для расширения вторжения непосредственно на рабочую станцию технического специалиста».
Конечная цель атаки, по-видимому, — технические специалисты, поскольку они регулярно подключаются к управляемым конечным точкам, принадлежащим различным клиентам, обычно с рабочих станций, имеющих доступ к административным инструментам и аутентифицированным сессиям управления. Это позволяет злоумышленникам выйти из исходной конечной точки и переместить вторжение в среду с потенциально более широким доступом и привилегиями.
Как только вредоносное ПО выполняется на машине технического специалиста, оно переходит от манипуляции удаленной поддержкой к краже сессий, сканируя локальные данные браузера и память процессов машины для восстановления существующей аутентифицированной сессии управления (т. е. .ASPXAUTH cookies), которая может быть использована для распространения вредоносного ПО на другие конечные точки без необходимости получения их учетных данных.
«Сначала пытаясь скомпрометировать рабочую станцию технического специалиста, а затем восстановить его аутентифицированную сессию ScreenConnect, SCKit стремится превратить доступ к одной управляемой конечной точке в возможность достичь других систем под контролем этого технического специалиста», — заявили исследователи.
The Hacker News связались с ConnectWise для получения комментариев, и мы обновим статью, если получим ответ.
Стоит отметить, что CVE-2026-84869 ранее использовалась в серии атак, в которых злоумышленники использовали ScreenConnect для распространения вредоносного четырехэтапного скрипта Visual Basic (VBScript) на новые подключенные системы и, в конечном итоге, для развертывания майнера криптовалют XMRig.
Уязвимость была добавлена Агентством по кибербезопасности и защите инфраструктуры США (CISA) в свой каталог известных уязвимостей (KEV) 11 сентября 2026 года, что потребовало от федеральных агентств применения исправлений к 14 сентября 2026 года.
В ответ на последний инцидент ConnectWise предприняла превентивные меры, отключив пять сторонних расширений в средах партнеров. Однако Blackpoint Cyber заявила, что не обнаружила технической связи между этими расширениями и SCKit.
На момент написания статьи нет доказательств того, что эта активность привела к успешному распространению на рабочую станцию технического специалиста или обошла исправление от поставщика для CVE-2026-84869.
«Полученные данные подчеркивают важность установки исправлений для клиентов ScreenConnect и необходимость более надежной защиты сессий операторов, включая более строгую проверку сессий и дополнительную аутентификацию для массовых административных действий», — отметили в Blackpoint Cyber.
«Организациям необходимо защищать эти сессии и внедрять дополнительные меры безопасности для критически важных административных действий», — заявили исследователи.
«Для MSP практический урок заключается в том, чтобы исследовать отношения управления, а не только конечные точки. Несанкционированные установки Access, история административных команд, рабочие станции технических специалистов и браузерные сессии — все это заслуживает внимания, особенно когда персонал поддержки уже подключился к подозрительной системе».
Huntress в обновлении заявила, что выявила серьезную уязвимость аутентификации в версиях 1.0.31 и 1.0.32 RMM+ — одном из пяти сторонних расширений ScreenConnect, которое уже было заблокировано ConnectWise.
«Когда администратор не настроил ключ доступа, расширение принимало пустой ключ, потенциально позволяя выполнять неавторизованные команды без прохождения обычных средств контроля аутентификации ScreenConnect», — говорится в заявлении компании, переданном The Hacker News.
RMM+ позволяет другому инструменту управлять сессиями ScreenConnect без участия технического специалиста через консоль. Он аутентифицирует запросы с помощью общего ключа доступа («RMMPlus.AccessKey»), хранящегося в настройках расширения. Однако в версиях 1.0.31 и 1.0.32 ключ по умолчанию имеет пустое значение.
Поскольку RMM+ работает независимо от обычных учетных записей пользователей, ролей и средств контроля аутентификации ScreenConnect, злоумышленник потенциально может выполнять команды на устройстве, не обходя многофакторную аутентификацию.
«Команды достигали конечных точек в нескольких экземплярах ScreenConnect в течение нескольких минут. Соответствующей активности входа не было, и команды появлялись в просмотренных журналах, связанных с RMM+».
Стоит упомянуть, что, хотя набор инструментов обладает возможностями для эксплуатации CVE-2026-84869, нет никаких доказательств того, что неисправленный клиент ScreenConnect был первоначальной точкой входа для атаки.
«В настоящее время первоначальный доступ, по-видимому, связан с вредоносными расширениями ScreenConnect, хотя у нас недостаточно доказательств для подтверждения этого», — сообщил The Hacker News Бил, ведущий аналитик MDR в Blackpoint.
«Идентификация пациента ноль потребует дополнительных криминалистических данных из затронутых сред. Аналогично, хотя 11 ноября отмечается самая ранняя публично зарегистрированная активность, мы не можем исключить более ранние компрометации без дальнейшего расследования. Наши выводы подтверждают возможности набора инструментов, но не устанавливают, когда или как произошел первоначальный компрометация».
В ответ на запрос комментариев представитель ConnectWise сообщил The Hacker News, что компания осведомлена о сообщениях о вредоносной активности, затрагивающей ограниченное число партнеров ScreenConnect, и активно расследует инцидент.
«Хотя первоначальный метод доступа остается неподтвержденным, наша первоначальная оценка предполагает, что активность может включать злоупотребление со стороны злоумышленника независимыми сторонними расширениями, установленными в средах партнеров», — заявил представитель.
«Мы отключили выявленные расширения там, где мы можем принять меры в качестве меры предосторожности, и советуем партнерам с локальными установками немедленно отключить их. Наличие этих расширений само по себе не означает компрометацию. Мы призываем партнеров ознакомиться с рекомендациями по мерам предосторожности в ConnectWise Trust Center, где мы будем предоставлять обновления по мере проверки информации».
(Статья была обновлена после публикации, чтобы включить ответы и выводы от ConnectWise, Blackpoint Cyber и Huntress.)
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
