Атаки на ScreenConnect скомпрометували MSP і зачепили 47 організацій

Компанія ConnectWise розслідує активну шкідливу кампанію проти постачальників керованих ІТ-послуг (MSP), у якій зловмисники використовують скомпрометовані середовища ScreenConnect для встановлення сторонніх клієнтів віддаленого доступу на пристрої замовників. За даними компанії Huntress, виявлено шість скомпрометованих MSP, 286 уражених кінцевих пристроїв у 47 організаціях, а кількість жертв зростає.

Про перебіг розслідування повідомляє BleepingComputer. ScreenConnect — платформа для віддаленого доступу й технічної підтримки, яку MSP та ІТ-команди застосовують для адміністрування пристроїв клієнтів.

Сторонній віддалений доступ

За інформацією Huntress, нападники застосовують функцію Run Command у ScreenConnect, щоб розгорнути клієнти ScreenConnect на керованих пристроях. Це може надати їм віддалений доступ поза легітимним середовищем ScreenConnect відповідного постачальника послуг.

Дослідники також попередили про потенційно небезпечніший сценарій: робоча станція технічного спеціаліста MSP може бути скомпрометована, коли він відкриває сеанс ScreenConnect із зараженим пристроєм клієнта. Механізм такого зворотного проникнення поки не встановлений: невідомо, чи використовує він уразливість програмного забезпечення, чи легітимні функції платформи.

Рекомендації ConnectWise та індикатори компрометації

ConnectWise підтвердила, що вивчає повідомлення про зловмисну активність, яка зачепила обмежену кількість партнерів ScreenConnect. Компанія порадила не відкривати інтерактивні сеанси з пристроями, які можуть бути скомпрометовані, а для перевірки використовувати окремі інструменти безпеки. Також партнерам рекомендували переглянути активність облікових записів, відкликати активні сеанси, змінити облікові дані з довіреного пристрою та перевірити багатофакторну автентифікацію.

Huntress зазначає, що поки не визначила спосіб початкового доступу до середовищ MSP. Водночас її телеметрія вказує на скомпрометовані облікові дані та перехоплені сесії технічної підтримки. Компанія оприлюднила індикатори компрометації, зокрема ідентифікатори сторонніх клієнтів ScreenConnect, домени командних серверів та назви файлів, і закликала MSP перевірити історію Run Command.

Ознаки попередньої активності

BleepingComputer також виявив пакетний скрипт, завантажений на VirusTotal 25 липня 2026 року, який містив один з ідентифікаторів сторонніх клієнтів, названих Huntress. Скрипт маскувався під виписку Управління соціального забезпечення США, намагався додати винятки до Microsoft Defender і створити механізми закріплення в системі Windows. Водночас зв'язок цієї активності з нинішніми атаками на MSP залишається невстановленим.