Aanvallers hebben via de Run Command-functie van ConnectWise ScreenConnect eigen remote-accessclients en een toolkit geïnstalleerd op endpoints bij klanten van zes MSP’s. Huntress telt minstens 288 getroffen endpoints bij 48 organisaties. Een patch is er nog niet. ConnectWise heeft vijf extensies van derden uitgeschakeld in cloudomgevingen.
Securitybedrijf Huntress ontdekte de aanvallen en beschrijft ze in zijn analyse SCKit worm: rogue ScreenConnect. De activiteit begon op 11 november 2026 rond 17:47 UTC. Het misbruik speelt vooral in door de cloud gehoste ScreenConnect-omgevingen, onder meer in versies 26.6.6.9747 en 26.7.6.9783. Voor het probleem is geen CVE-nummer toegekend.
Commando’s als SYSTEM zonder inlogactiviteit
Volgens Huntress stuurde een aanvaller op woensdagavond via Run Command commando’s met SYSTEM-rechten naar groepen endpoints, zonder dat daar inlogactiviteit tegenover stond. Binnen negentig minuten waren alle getroffen systemen geraakt. Een derde daarvan werd al in de eerste tien minuten bereikt.
Het commando installeert een tweede ScreenConnect-client die de aanvaller beheert en haalt daarna SCKit binnen, een versleutelde toolkit van zestien bestanden. SCKit nestelt zich volgens de onderzoekers via een geplande taak met de naam TrapWatch, die elke tien seconden draait. De toolkit neemt daarbij de verbindingsplek van de legitieme ScreenConnect-client over. Zo krijgen de aanvallers een eigen ingang op beheerde werkplekken en servers, buiten het zicht van de MSP.
Extensie RMM+ als mogelijke route
Hoe de aanvallers binnenkwamen, staat nog niet vast. ConnectWise wijst vijf extensies van derden aan als mogelijke route. Vermoedelijk speelt de extensie RMM+ een rol: versies 1.0.31 en 1.0.32 accepteerden een lege toegangssleutel als die nooit was ingesteld. Daarmee worden de gebruikers, rollen en MFA van ScreenConnect omzeild. BleepingComputer meldt dat de telemetrie van Huntress daarnaast wijst op gestolen credentials of gekaapte sessies van operators.
Extensies uitgeschakeld, nog geen patch
Een patch is niet beschikbaar. ConnectWise heeft de extensies Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link en RMM+ Password Link uitgeschakeld in ongeveer 400 partneromgevingen. Beheerders van on-premises installaties moeten deze extensies zelf uitzetten.
Voor MSP’s die ScreenConnect gebruiken, zijn de geplande taak TrapWatch en een onbekende tweede ScreenConnect-client op endpoints concrete aanknopingspunten om de eigen omgeving te controleren.
Code gericht op technici
Huntress vond in de toolkit ook code die zich richt op technici van de MSP. Zodra een technicus verbinding maakt met een besmette machine, steelt de toolkit de .aspxauth-sessiecookie. Daarmee logt de toolkit in op het ScreenConnect-panel en verspreidt hij een payload via de Shared Toolbox naar elke bereikbare sessie. Het bedrijf geeft aan dat het dit onderdeel nog niet werkend heeft gezien.
Daarnaast nummeren de aanvallers hun MSP-slachtoffers oplopend. Die reeks begint volgens Huntress niet bij één, wat erop wijst dat eerder al andere MSP’s getroffen kunnen zijn.
Lees meer details in onze Patchwork van vandaag..
