SCKit-Malware zielt bei ScreenConnect-Angriffen auf Techniker ab

Angreifer setzten am 11. November die SCKit-Malware in einer Kampagne ein, bei der mindestens 288 Kundengeräte in 48 Organisationen kompromittiert wurden. Das Toolkit versuchte außerdem, sich während Support-Sitzungen von infizierten Geräten auf die Arbeitsstationen von Technikern bei Managed-Service-Providern auszubreiten. Die Forscher fanden jedoch keine Hinweise darauf, dass diese Verbreitungsversuche erfolgreich waren.

Innerhalb von 90 Minuten erreichten die Angreifer alle 288 Geräte. Etwa ein Drittel der Geräte wurde bereits in den ersten zehn Minuten angegriffen. Über cloudbasierte ScreenConnect-Umgebungen installierten die Angreifer zusätzliche Fernzugriffsclients, die sich mit Servern unter ihrer Kontrolle verbanden. Diese Clients ermöglichten es ihnen, erneut auf Kundengeräte zuzugreifen, selbst nachdem ein Techniker die ursprüngliche Support-Sitzung beendet hatte.

Ermittler führen verdächtige Befehle auf RMM+ zurück

Sicherheitsforscher identifizierten RMM+, eine Drittanbietererweiterung für ScreenConnect, als wahrscheinlichen Einstiegspunkt. Die Erweiterung ermöglicht externen Verwaltungstools die Interaktion mit Kundengeräten. Die Ermittler entdeckten eine Authentifizierungsschwachstelle in den Versionen 1.0.31 und 1.0.32, die die Ausführung unautorisierter Befehle ermöglichen konnte. Protokolle aus mehreren betroffenen Umgebungen brachten die Befehle mit RMM+ in Verbindung, ohne dass entsprechende Anmeldungen von Technikern registriert worden waren.

Als Reaktion deaktivierte ConnectWise fünf möglicherweise damit zusammenhängende Drittanbietererweiterungen in rund 400 Partnerumgebungen. Diese Zahl beschreibt den Umfang der Vorsichtsmaßnahme. ConnectWise betonte, dass das bloße Vorhandensein einer Erweiterung nicht bedeute, dass Angreifer auf die Systeme eines Partners zugegriffen hätten.

SCKit-Malware versucht, sich über Support-Sitzungen auszubreiten

Normalerweise öffnet ein Techniker eine ScreenConnect-Sitzung, um Probleme auf einem Kundengerät zu beheben. SCKit versuchte, diesen Moment auszunutzen, um über eine Schwachstelle in der Dateiübertragungsfunktion, CVE-2026-84869, die Arbeitsstation des Technikers anzugreifen. Bei einem erfolgreichen Angriff hätten die Täter möglicherweise die angemeldete Verwaltungssitzung des Technikers übernehmen und auf Geräte anderer Kundenorganisationen zugreifen können.

ConnectWise hatte die Schwachstelle bereits mit ScreenConnect Version 26.6.5 behoben. Bei Tests beobachteten die Forscher, dass das infizierte Gerät eine Dateiübertragung in die Warteschlange stellte. Der aktualisierte Client auf dem Rechner des Technikers forderte die Datei jedoch weder an noch führte er sie aus. Eine separate Überprüfung der Protokolle betroffener Geräte ergab, dass sämtliche aufgezeichneten Versuche, die Konsole eines Technikers zu übernehmen, gescheitert waren.

Für Dienstleister, die den Vorfall untersuchen, stellen die unautorisierten Fernzugriffsclients weiterhin ein Risiko dar, selbst wenn die Arbeitsstation des Technikers die Dateiübertragung blockiert hat. Die Forscher empfahlen den Anbietern, Kundengeräte auf unerwartete ScreenConnect-Installationen zu überprüfen und die Aktivitäten in den Plattformfunktionen Run Command und Shared Toolbox zu kontrollieren.

Außerdem empfahlen sie, die Clients der Techniker zu aktualisieren, betroffene Erweiterungen zu deaktivieren und vermutete Infektionen mit einem separaten Sicherheitstool zu untersuchen, bevor eine weitere interaktive Support-Sitzung geöffnet wird.