Малициозниот софтвер SCKit ги злоупотребува ScreenConnect сесиите за техничка поддршка за напади врз MSP организации

Тековната кампања за напади насочена кон инсталациите на ConnectWise ScreenConnect ја користи веќе поправената критична безбедносна ранливост во софтверот за далечински пристап, а не новооткриен пропуст, покажуваат најновите анализи.

Групата Adversary Pursuit Group (APG) на компанијата Blackpoint Cyber, која ги сподели деталите со The Hacker News, соопшти дека пронајдениот пакет алатки на напаѓачите ја злоупотребува ранливоста CVE-2026-84869 (CVSS оцена: 9.9). Станува збор за пропуст во управувањето со привилегии и недостиг на проверка на овластувањата, кој може да му овозможи на напаѓачот да пренесува датотеки и да извршува код преку активна сесија за далечински пристап, без соодветно овластување или потврда од корисникот на оддалечениот систем.

Компанијата за сајбер-безбедност потврдила дека тестирањето со целосно ажуриран ScreenConnect клиент успешно го спречува извршувањето на малициозниот код преку оваа ранливост.

„Нашето тестирање потврди дека нападот ја искористува CVE-2026-84869 и дека постојната безбедносна исправка успешно го блокира. Ова е важен наод за безбедносните тимови“, изјавија истражувачите на APG, Сем Декер и Неван Бил.

„Но, пакетот алатки содржи и функционалности за преземање контрола врз автентицирани сесии на операторите и злоупотреба на легитимните функции за управување на ScreenConnect за испраќање малициозен код. Инсталирањето на безбедносната исправка го отстранува познатиот пропуст, но не ги елиминира ризиците поврзани со компромитирана операторска сесија.“

Особено значајно е што малициозниот софтвер SCKit содржи функционалност наречена RelayTrap, која овозможува нападот да се пренесе од компромитиран систем кон работните станици на техничарите кои се обидуваат да истражат сомнителни активности на уредите што ги одржуваат. Со други зборови, нападот ги злоупотребува доверливите функционалности на платформата и не се потпира на софтверска ранливост откако напаѓачот ќе добие валидна сесија.

Во нападот се користи вградената функција Run Command на платформата за извршување команди. Најпрво се проверува дали на системот веќе е инсталиран ScreenConnect, по што се презема и извршува MSI-инсталациска датотека контролирана од напаѓачите („sc.msi“). Таа потоа ја инсталира batch-скриптата („sckit-run.bat“), која служи за преземање и активирање на следните компоненти.

Batch-скриптата потоа се поврзува со доменот „ns.mo7sen[.]dev“ за да преземе PowerShell декодер („sckit-decoder.ps1“), кој на крајот ги инсталира различните компоненти од пакетот алатки SCKit.

Меѓу нив е и PowerShell-скриптата („SilentForceInstall-WithUninstall.ps1“), која воспоставува постојан далечински пристап преку инсталирање на два неовластени ScreenConnect Access клиенти. Пакетот содржи и низа скрипти и C# код наменети за попречување на постојните ScreenConnect Guest сесии, вклучително и компонентата RelayTrap.

Оваа компонента се обидува да искористи техника за извршување датотеки од гостинскиот систем кон хостот, поврзана со ранливоста CVE-2026-84869. За таа цел, ја заменува легитимната компонента ScreenConnect Guest и го испраќа малициозниот код SCKit назад кон техничарот кој се поврзува со системот, со цел да биде извршен на неговата работна станица.

Доколку оваа постапка успее, малициозниот софтвер се обидува да ги украде автентицираните ScreenConnect сесии на техничарот во прелистувачот и да ги злоупотреби неговите постојни административни овластувања за испраќање команди до други уреди до кои има пристап.

На тој начин, напаѓачите можат да го прошират нападот надвор од првично компромитираниот систем и да навлезат во инфраструктурата на други клиенти, користејќи ја истата платформа преку која техничарите управуваат со нивните системи.

„Бидејќи командите беа извршувани преку постојните ScreenConnect агенти, напаѓачите можеа да инсталираат дополнителен софтвер со привилегиите на NT AUTHORITY\SYSTEM, без да мора да воспоставуваат посебен начин за извршување код на секој уред“, соопшти Blackpoint Cyber.

„Неовластените Access клиенти им овозможуваат на напаѓачите постојана контрола врз уредот, додека компонентите RelayTrap се наменети за пресретнување на легитимните конекции за техничка поддршка. Наместо само да ги спречи администраторите да пристапат до заразениот уред, пакетот алатки се обидува да ја искористи нивната следна конекција како можност за проширување на нападот кон работната станица на техничарот.“

Крајната цел на нападот очигледно се техничарите, бидејќи тие редовно се поврзуваат со уреди на различни клиенти. Најчесто тоа го прават од работни станици на кои имаат административни алатки и веќе автентицирани сесии за управување со системите. Ова им овозможува на напаѓачите да го напуштат првично компромитираниот уред и да го прошират нападот кон друга инфраструктура, каде што потенцијално можат да добијат поширок пристап и повисоки привилегии.

Откако малициозниот софтвер ќе се изврши на работната станица на техничарот, нападот преминува од злоупотреба на далечинската поддршка кон кражба на сесии. Малициозниот софтвер ги пребарува локалните податоци на прелистувачот и меморијата на активните процеси за да пронајде постојна автентицирана сесија за управување, односно колачиња .ASPXAUTH. Украдената сесија потоа може да се искористи за ширење на малициозниот софтвер кон други уреди, без потреба од прибавување на нивните кориснички акредитиви.

„Со обидот најпрво да ја компромитира работната станица на техничарот, а потоа да ја украде неговата автентицирана ScreenConnect сесија, SCKit се обидува пристапот до еден уред на клиент да го претвори во можност за пристап до други системи со кои управува истиот техничар“, соопштија истражувачите.

The Hacker News побарал коментар од ConnectWise и најавил дека веста ќе биде ажурирана доколку добие одговор.

Треба да се напомене дека CVE-2026-84869 и претходно била злоупотребена во серија напади, во кои напаѓачите го користеле ScreenConnect за дистрибуирање малициозен код во четири фази, напишан во Visual Basic Script (VBScript), до новоповрзаните системи. Крајната цел била инсталирање XMRig софтвер за нелегално ископување криптовалути.

Американската Агенција за сајбер-безбедност и инфраструктурна безбедност (CISA) ја додаде ранливоста во својот каталог на познати активно искористувани ранливости (KEV) на 11 септември 2026 година, со рок до 14 септември 2026 година за федералните агенции да ги применат безбедносните исправки.

Како реакција на најновиот инцидент, ConnectWise презела превентивни мерки и оневозможила пет екстензии од трети страни во околините на своите партнери. Сепак, Blackpoint Cyber соопшти дека не пронашла техничка поврзаност меѓу овие екстензии и SCKit.

Во моментот на објавување на веста, нема докази дека напаѓачите успешно го прошириле нападот кон работна станица на техничар или дека ја заобиколиле безбедносната исправка за CVE-2026-84869.

Наодите ја потврдуваат важноста од редовно ажурирање на ScreenConnect клиентите и ја нагласуваат потребата од посилна заштита на операторските сесии, вклучително и построги проверки при воспоставување сесии и дополнителна автентикација при извршување административни операции со голем опсег, истакнува Blackpoint Cyber.

„Организациите треба да ги заштитат овие сесии и да воведат дополнителни безбедносни механизми за административните операции што можат да имаат големо влијание врз системите“, велат истражувачите.

„За MSP организациите, клучната поука е дека треба да се истражува целиот однос на управување со системите, а не само компромитираниот уред. Треба да се проверат неовластените ScreenConnect Access инсталации, историјата на административни команди, работните станици на техничарите и сесиите во прелистувачите, особено кога персоналот за поддршка веќе се поврзал со сомнителен систем.“

Откриен пропуст во автентикацијата на RMM+

Компанијата Huntress во свое дополнително известување соопшти дека открила сериозен пропуст во автентикацијата во верзиите 1.0.31 и 1.0.32 на RMM+, една од петте екстензии за ScreenConnect од трети страни што ConnectWise веќе ги блокирала.

„Кога администраторот немал конфигурирано пристапен клуч, екстензијата прифаќала и празен клуч, што потенцијално овозможувало извршување неовластени команди без примена на вообичаените механизми за автентикација на ScreenConnect“, соопшти компанијата во изјава споделена со The Hacker News.

RMM+ овозможува друга алатка да управува со ScreenConnect сесиите без техничарот да мора да работи преку самата конзола. За автентикација на барањата користи заеднички пристапен клуч („RMMPlus.AccessKey“), зачуван во поставките на екстензијата. Меѓутоа, во верзиите 1.0.31 и 1.0.32, стандардната вредност на овој клуч е празна.

Бидејќи RMM+ функционира независно од вообичаените кориснички сметки, улоги и механизми за автентикација на ScreenConnect, напаѓачот потенцијално може да извршува команди на уредот без да мора да ја заобиколи повеќефакторската автентикација (MFA).

„За само неколку минути, командите стигнаа до уреди во повеќе ScreenConnect инстанци. Не беше забележана соодветна активност за најавување, а командите се појавија во прегледаните логови како поврзани со RMM+.“

Треба да се напомене дека, иако пакетот алатки има функционалности за искористување на CVE-2026-84869, нема докази дека незакрпен ScreenConnect клиент бил почетната точка на нападот.

„Во овој момент, се чини дека почетниот пристап е поврзан со малициозни екстензии за ScreenConnect, иако немаме доволно докази за да го потврдиме тоа“, изјави за The Hacker News Неван Бил, главен аналитичар за откривање и одговор на закани (MDR) во Blackpoint.

„Идентификувањето на првично компромитираниот систем би барало дополнителни форензички докази од засегнатите околини. Исто така, иако 11 ноември е најраниот јавно пријавен датум на активност, не можеме да ја исклучиме можноста за претходни компромитирања без дополнителна истрага. Нашите наоди ги потврдуваат можностите на пакетот алатки, но не утврдуваат кога или како се случило првичното компромитирање.“

На барањето за коментар, портпарол на ConnectWise за The Hacker News изјавил дека компанијата е запознаена со извештаите за малициозни активности што засегнале ограничен број партнери кои користат ScreenConnect и дека активно го истражува инцидентот.

„Иако начинот на кој бил остварен почетниот пристап сè уште не е потврден, нашата првична процена укажува дека активноста можеби вклучува злоупотреба на независни екстензии од трети страни инсталирани во околините на партнерите“, изјавил портпаролот.

„Превентивно ги оневозможивме идентификуваните екстензии таму каде што можевме да преземеме таква мерка и им препорачуваме на партнерите кои сами ја одржуваат својата инфраструктура веднаш да ги оневозможат. Самото присуство на овие екстензии не значи дека системот е компромитиран. Ги повикуваме партнерите да ги разгледаат превентивните препораки во ConnectWise Trust Center, каде што ќе објавуваме нови информации како што ќе бидат потврдени.“

Веста е ажурирана по објавувањето со дополнителни одговори и информации од ConnectWise, Blackpoint Cyber и Huntress.

Извори:

• The Hacker News – SCKit Malware Turns ScreenConnect Support Sessions Into Potential MSP Attack Paths The Hacker News