Шкідливий набір SCKit націлився на MSP через ScreenConnect

Дослідники виявили шкідливий набір SCKit, який використовували в нещодавніх атаках на постачальників керованих ІТ-послуг через платформу віддаленого доступу ScreenConnect. Його розробили для поширення з інфікованих пристроїв клієнтів на комп’ютери технічних спеціалістів MSP, а потім — на інші мережі, якими вони керують, повідомляє BleepingComputer.

За оновленими даними Huntress, атака торкнулася щонайменше 288 кінцевих пристроїв у 48 організаціях. Усі ці системи атакували впродовж 90 хвилин, а приблизно третину — у перші 10 хвилин.

Ймовірний спосіб початкового доступу

Під час кампанії зловмисники отримували несанкціонований доступ до хмарних середовищ ScreenConnect і через функцію Run Command встановлювали на пристрої клієнтів сторонні клієнти віддаленого доступу ScreenConnect. Huntress вважає, що початковий доступ міг бути пов’язаний із RMM+ — стороннім розширенням, яке дає зовнішнім інструментам керування змогу взаємодіяти із сесіями ScreenConnect без стандартної консолі технічного спеціаліста.

У версіях RMM+ 1.0.31 та 1.0.32 дослідники виявили ваду автентифікації. Якщо адміністратор не налаштовував спільний ключ доступу, він міг залишатися порожнім: тоді атакувальник міг передати порожній ключ і пройти перевірку розширення, щоб виконувати віддалені команди. Huntress пов’язує це з активністю, за якої команди запускалися в кількох середовищах без відповідних входів користувачів, а журнали вказували на RMM+.

ConnectWise у межах реагування вимкнула п’ять потенційно пов’язаних сторонніх розширень приблизно у 400 партнерських середовищах. Компанія наголосила, що сама наявність цих розширень не означає компрометації середовища.

Спроба атакувати комп’ютери технічних спеціалістів

SCKit складається з 16 скриптів і компонентів для збереження віддаленого доступу та поширення між системами. Зокрема, компонент RelayTrap має замінювати легітимний процес ScreenConnect Guest на інфікованому пристрої та чекати інтерактивного підключення спеціаліста MSP. Його вихідний код завантажується на скомпрометований пристрій і локально компілюється PowerShell-скриптом у виконуваний файл.

Під час підключення RelayTrap намагається надіслати шкідливий файл із пристрою клієнта на робочу станцію спеціаліста, використовуючи CVE-2026-84869 — критичну клієнтську вразливість передавання файлів у ScreenConnect. ConnectWise усунула її у версії 26.6.5. Після запуску на станції спеціаліста інші компоненти SCKit намагаються викрасти cookies автентифікації ScreenConnect із браузерів і використати наявні права для поширення команд через інструменти платформи.

Доказів успішного поширення немає

Huntress і Blackpoint Cyber заявили, що не зафіксували успішного використання цієї вразливості в поточній кампанії. Blackpoint Cyber протестувала спробу експлуатації на актуальному клієнті ScreenConnect і повідомила, що встановлене виправлення заблокувало виконання шкідливого файлу. Huntress також зазначила, що в усіх проаналізованих журналах спроба захоплення консолі не вдалася.

Дослідники рекомендують MSP вимкнути уражені сторонні розширення, оновити клієнти ScreenConnect, перевірити несанкціоновані інсталяції віддаленого доступу та проаналізувати активність Run Command і Toolbox. Також радять не відкривати інтерактивні сесії ScreenConnect із потенційно інфікованими пристроями.