Yönetilen hizmet sağlayıcılarını (MSP) hedef alan ScreenConnect saldırılarında, SCKit adı verilen ve sistemden sisteme yayılmaya çalışan yeni bir zararlı yazılım araç seti kullanıldı. Huntress ve Blackpoint Cyber araştırmacıları, 16 betik ve bileşenden oluşan setin kalıcı uzaktan erişim kurmayı ve ScreenConnect üzerinden yönetilen makineler arasında yayılmayı amaçladığını açıkladı.
ScreenConnect, MSP'lerin ve BT ekiplerinin müşteri cihazlarını uzaktan yönetip sorun gidermesine yarayan bir uzaktan erişim ve destek platformu. Saldırılarda, bulutta barındırılan ScreenConnect ortamlarına yetkisiz erişim sağlandı ve platformun Run Command özelliği kullanılarak müşteri cihazlarına sahte ScreenConnect istemcileri kuruldu. Huntress'in güncellenmiş raporuna göre 48 kuruluştaki en az 288 uç nokta etkilendi; cihazların tamamı 90 dakika içinde hedef alındı ve sistemlerin yaklaşık üçte biri ilk 10 dakikada etkilendi.
Huntress, ilk erişimin ScreenConnect'e dış yönetim araçlarının standart teknisyen konsoluna gerek kalmadan bağlanmasını sağlayan RMM+ eklentisi üzerinden gerçekleştiğini değerlendiriyor. Araştırmacılara göre eklentinin 1.0.31 ve 1.0.32 sürümlerinde, erişim anahtarı hiç yapılandırılmamışsa boş bırakılmasına izin veren bir kimlik doğrulama açığı bulunuyordu. Saldırganlar boş anahtar göndererek eklentinin denetimini geçebiliyor ve ScreenConnect ortamı üzerinden uzaktan komut çalıştırabiliyordu. ConnectWise, yanıt kapsamında yaklaşık 400 iş ortağı ortamında olası bağlantılı beş üçüncü taraf eklentisini devre dışı bıraktı; şirket, bu eklentilerin varlığının ortamların ele geçirildiği anlamına gelmediğini vurguladı.
SCKit'in dikkat çeken yanı, meşru bir destek oturumunu teknisyene karşı saldırıya çevirme girişimi. RelayTrap adlı bileşen, ele geçirilmiş cihazda çalışan gerçek ScreenConnect Guest sürecinin yerini alıp bir MSP teknisyeninin bağlantı kurmasını bekliyor. Saldırganlar RelayTrap'i derlenmiş dosya olarak değil, RelayTrap.cs adlı C# kaynak kodu olarak kendi altyapılarında tutuyor; kod cihaza indirildikten sonra PowerShell betiğiyle yerel olarak derleniyor. Teknisyen bağlandığında RelayTrap, normalde teknisyenden müşteriye giden dosya aktarımını tersine çevirerek zararlı bir dosyayı teknisyenin bilgisayarına göndermeye çalışıyor. Bu girişim, ConnectWise'ın 26.6.5 sürümünde kapattığı CVE-2026-84869 açığını hedefliyor.
Blackpoint Cyber araştırmacıları Sam Decker ve Nevan Beal, güncel bir ScreenConnect istemcisine karşı denemede mevcut güvenlik düzeltmesinin çalışmayı engellediğini söyledi. Huntress de incelediği tüm ana bilgisayar kayıtlarında konsol ele geçirme girişiminin başarısız olduğunu bildirdi. Yine de araç setinin diğer bileşenleri, teknisyenin tarayıcısından ScreenConnect kimlik doğrulama çerezlerini çalmaya ve mevcut yetkilerle diğer müşteri ağlarına komut dağıtmaya çalışıyor.
Bu kampanya, son haftalarda yönetim platformlarını hedef alan saldırıların ardından geldi. 6 Kasım'da Censys, Çin yapımı yapay zekâ tabanlı sızma testi aracı Artex'in internete açık yüzlerce kopyasını tespit etmiş; aracın Güney Kore finans sektörüne ve ConnectWise'a yönelik saldırılarda kullanıldığı belirtilmişti. 10 Kasım'da ise N-able, araştırmacı Sean Bales'in N-central platformunda 30'dan fazla sıfır gün açığını yayımlamasının ardından barındırılan N-central ortamlarını geçici olarak çevrimdışına almıştı. Uzmanlar MSP'leri etkilenen üçüncü taraf eklentilerini kapatmaya, ScreenConnect istemcilerini güncellemeye ve olası ele geçirilmiş cihazlarla etkileşimli oturum açmaktan kaçınmaya çağırıyor.
