Newshot 
针对 ConnectWise ScreenConnect 部署的持续攻击活动，涉及利用该远程访问软件中一个现已修复的严重安全漏洞，而非一个新漏洞。
Blackpoint Cyber 的 Adversary Pursuit Group（APG）向 The Hacker News 分享了细节，称其回收的攻击者工具包利用的是 CVE-2026-84869（CVSS 评分：9.9），这是一个权限管理不当和缺少授权漏洞，可允许攻击者未经授权或主机确认，通过活动的远程会话进行文件传输和执行。
这家网络安全公司确认，针对完全修补的 ScreenConnect 客户端进行测试，可成功阻止该漏洞利用载荷的执行。
“我们的测试确认，该漏洞利用针对的是 CVE-2026-84869，且现有补丁能成功阻止它，”APG 研究人员 Sam Decker 和 Nevan Beal 表示。“这对安全团队来说是一项重要发现。”
“但该工具包还包含劫持已认证操作员会话的能力，并利用合法的 ScreenConnect 管理功能推送恶意代码。打补丁解决了已知的漏洞利用，但并未消除与操作员会话被攻陷相关的风险。”
值得注意的是，SCKit 恶意软件包含名为 RelayTrap 的功能，用于反向枢转，以感染那些试图调查受管端点中可疑活动的技术人员的 workstation。换言之，一旦攻击者获得有效会话，该活动便滥用受信任的功能，而不再依赖软件漏洞。
攻击序列利用该平台内置的 Run Command 功能来执行命令。这涉及首先检查是否存在 ScreenConnect 安装，然后下载并运行攻击者控制的 MSI 安装程序（“sc.msi”），后者随后释放批处理脚本 dropper（“sckit-run.bat”）。
该批处理脚本 dropper 随后联系 “ns.mo7sen[.]dev”，以获取 PowerShell 解码器（“sckit-decoder.ps1”），并最终部署与 SCKit 工具包相关的各种组件。
这包括一个 PowerShell 脚本（“SilentForceInstall-WithUninstall.ps1”），用于通过部署两个未经授权的 ScreenConnect Access 客户端来建立持久远程访问，以及一组旨在干扰现有 ScreenConnect Guest 会话的脚本和 C# 代码，其中包括 RelayTrap。
该组件尝试一种与 CVE-2026-84869 相关的 guest-to-host 文件执行技术：替换合法的 ScreenConnect Guest，并将 SCKit 载荷回传给正在连接的技术人员以供执行。
如果此操作成功，恶意软件会尝试恢复该技术人员已认证的 ScreenConnect 浏览器会话，并利用其现有管理权限，在其可访问的其他端点上分发命令。因此，攻击者可以超越最初的受陷系统，并通过用于管理这些环境的同一基础设施进入其他客户环境。
“由于这些命令是通过现有 ScreenConnect agent 执行的，攻击者可以在 NT AUTHORITY\SYSTEM 上下文中部署额外软件，而无需在每台机器上建立单独的执行方法，”Blackpoint Cyber 表示。
“未经授权的 Access 客户端为攻击者提供了对端点的持久控制，而 RelayTrap 组件则使恶意软件能够拦截合法的支持连接。该工具包并非仅仅阻止管理员访问受感染机器，而是试图将他们的下一次连接当作机会，将入侵直接扩展到技术人员的工作站。”
攻击的最终目标似乎是针对技术人员，因为他们经常连接到属于不同客户的受管端点，通常是从可访问管理工具和已认证管理会话的工作站发起连接。这使攻击者能够突破原始端点，并将入侵转移到可能具有更广泛访问权限和特权的环境中。
一旦恶意软件在技术人员的机器上执行，它就会从远程支持操纵转向会话窃取，搜索该机器的本地浏览器数据和进程内存，以恢复现有的已认证管理会话（即 .ASPXAUTH cookies），从而可用于将恶意软件传播到其他端点，而无需获取这些端点的凭据。
“通过首先尝试入侵技术人员的工作站，然后恢复其已认证的 ScreenConnect 会话，SCKit 试图将对单个受管端点的访问转化为接触该技术人员控制下其他系统的机会，”研究人员表示。
The Hacker News 已联系 ConnectWise 请求置评，如果收到回复，我们将更新报道。
值得注意的是，CVE-2026-84869 此前曾在一系列攻击中被利用，威胁行为者利用 ScreenConnect 向新连接的系统分发恶意的四阶段 Visual Basic Script (VBScript) 载荷，并最终投放 XMRig 加密货币挖矿程序。
该漏洞于 2026 年 9 月 11 日被美国网络安全和基础设施安全局 (CISA) 加入其已知被利用漏洞 (KEV) 目录，要求联邦机构在 2026 年 9 月 14 日前应用修复程序。
针对最新事件，ConnectWise 已采取预防措施，在合作伙伴环境中禁用了五个第三方扩展。然而，Blackpoint Cyber 表示，未发现这些扩展与 SCKit 之间存在技术关联。
截至撰写本文时，没有证据表明该活动已成功传播到技术人员工作站，或绕过了针对 CVE-2026-84869 的供应商补丁。
Blackpoint Cyber 指出，这些发现强化了修补 ScreenConnect 客户端的重要性，并凸显了加强操作员会话保护的必要性，包括更严格的会话验证以及对批量管理操作进行额外认证。
“组织需要保护这些会话，并围绕高影响管理操作设置额外保障措施，”研究人员表示。
“对于 MSP 而言，实际的教训是调查管理关系，而不仅仅是端点。Rogue Access 安装、管理命令历史、技术人员工作站和浏览器会话都值得关注，尤其是当支持人员已经连接到可疑系统时。”
更新
Huntress 在一份更新中表示，已在 RMM+ 的 1.0.31 和 1.0.32 版本中发现一个严重的身份验证缺陷，RMM+ 是已被 ConnectWise 阻止的五个第三方 ScreenConnect 扩展之一。
“当管理员未配置访问密钥时，该扩展会接受空白密钥，这可能允许未经授权的命令在不经过 ScreenConnect 正常身份验证控制的情况下执行，”该公司在与 The Hacker News 分享的一份声明中表示。
RMM+ 使另一个工具无需技术人员通过控制台操作即可管理 ScreenConnect 会话。它使用存储在扩展设置中的共享访问密钥（“RMMPlus.AccessKey”）对请求进行身份验证。然而，在 1.0.31 和 1.0.32 版本中，该密钥默认值为空白。
由于 RMM+ 独立于 ScreenConnect 的正常用户账户、角色和身份验证控制运行，攻击者可能无需绕过多重身份验证即可在设备上执行命令。
SCKit 恶意软件将 ScreenConnect 支持会话变成潜在的 MSP 攻击路径
“命令在几分钟内就到达了多个 ScreenConnect 实例中的端点。没有相应的登录活动，而且这些命令出现在所审查的、与 RMM+ 相关的日志中。”
这里值得提到的是，尽管该工具包具备利用 CVE-2026-84869 的能力，但没有证据表明未打补丁的 ScreenConnect 客户端是该攻击的初始入口点。
“目前，初始访问似乎与恶意 ScreenConnect 扩展有关，但我们没有足够证据确认这一点，”Blackpoint 首席 MDR 分析师 Beal 告诉 The Hacker News。
“识别零号病人需要来自受影响环境的额外取证证据。同样，尽管 11 月 11 日是最早公开报告的活动，但在没有进一步调查的情况下，我们不能排除更早的入侵。我们的发现确认了该工具包的能力，但并未确定初始入侵发生的时间或方式。”
当被联系置评时，ConnectWise 的一位发言人告诉 The Hacker News，其已知晓影响少数 ScreenConnect 合作伙伴的恶意活动报告，并正在积极调查该事件。
“虽然初始访问方法仍未确认，但我们的初步评估表明，该活动可能涉及威胁行为者滥用安装在合作伙伴环境中的独立第三方扩展，”这位发言人说。
“作为预防措施，我们已在可采取行动的范围内禁用了已识别的扩展，并建议本地部署合作伙伴立即禁用它们。仅存在这些扩展并不能证明已遭入侵。我们鼓励合作伙伴查阅 ConnectWise Trust Center 中的预防性指南，我们将在信息得到验证后在那里提供更新。”
（本文发布后已更新，以纳入 ConnectWise、Blackpoint Cyber 和 Huntress 的回应与见解。）