ScreenConnect 遭攻击：至少 288 个端点、48 家机构受影响

在有报告称发生未经授权访问后，ConnectWise 已采取预防性措施，在合作伙伴环境中禁用了五个第三方扩展。

该公司在其网站上发布的公告中表示，没有证据表明该事件涉及其基础设施被入侵或 ScreenConnect 软件存在漏洞。

该公司表示：“我们的初步评估表明，该活动可能涉及威胁行为者滥用安装在合作伙伴环境中的独立第三方扩展。”“我们正在继续验证这一评估。初始访问方式和完整影响范围仍在调查中。”

ConnectWise 已识别出约 400 个至少安装了其中一个第三方扩展的合作伙伴环境。该公司还强调，仅存在这些扩展并不表明或构成入侵。

该公司补充说，虽然这些扩展提供了一个能够执行远程命令的 API，但对 API 的访问由合作伙伴在设置期间配置的密码短语保护。以下是被列入预防性禁用名单的扩展——

• Labtech Plus

• RMM Plus Password Link

• RMM+ Password Link

ConnectWise 还表示，已敦促本地部署合作伙伴禁用这些扩展，并建议所有合作伙伴确保安全控制措施正在运行、保留可疑活动日志，并对以下情况保持警惕——

• 异常登录、陌生位置、反复登录失败以及意外的多因素认证（MFA）提示

• 新的管理员账户或用户权限变更

• 意外的扩展安装、远程命令和 Toolbox 活动

• 客户设备和技术人员工作站上未经批准的远程访问软件

• 通过可信渠道发来的意外支持请求、密码重置消息和软件下载

该公司分享了以下入侵指标（IoC）——

• IP 地址：185.99.255[.]28 155.94.150[.]39

• 185.99.255[.]28

• 155.94.150[.]39

• 域名和 URL：ns[.]mo7sen[.]dev ns[.]mo7sen[.]dev/EadF.php?p=4 sc[.]payproofkit[.]com cdn007-digitaldownloads[.]com newnewnew[.]gotdns[.]org Soxnewwork[.]homedns[.]org

• ns[.]mo7sen[.]dev

• ns[.]mo7sen[.]dev/EadF.php?p=4

• sc[.]payproofkit[.]com

• cdn007-digitaldownloads[.]com

• newnewnew[.]gotdns[.]org

• Soxnewwork[.]homedns[.]org

• 制品：sckit-run.bat sckit-decoder.ps1 TrapWatch.ps1 Panel-Lateral.ps1 Run-Lateral-Full.bat runnew.cmd ToolboxRelayUploader.exe Sqlite3.exe

• sckit-run.bat

• sckit-decoder.ps1

• TrapWatch.ps1

• Panel-Lateral.ps1

• Run-Lateral-Full.bat

• ToolboxRelayUploader.exe

同样在追踪该活动的网络安全公司 Huntress 表示，其观察到攻击者利用对云托管 ScreenConnect 面板的访问权限推送 Run 命令，目的是在 48 个组织的至少 288 个受管端点上安装恶意 ScreenConnect 客户端。该活动首次被发现于 2026 年 11 月 11 日 UTC 时间下午 5:47 左右。

Huntress 告诉 The Hacker News，尚未发现新漏洞的证据，但指出攻击者获取面板访问权限的确切方法仍不清楚。该公司表示，当前遥测数据指向凭据泄露或被劫持的操作员会话被用于获得初始访问权限。

整个攻击以类似蠕虫的方式展开，采用两步流程——

• 初始访问：攻击者利用被入侵的 ScreenConnect 面板的 Run Command 功能，在各端点部署恶意 ScreenClient 客户端，创建一个不再依赖原始面板的持久后门。

• 横向移动：当技术人员通过 ScreenConnect 连接到受感染的终端时，恶意软件可以反向传播到其工作站，窃取已保存的浏览器会话和身份验证令牌，并转向该技术人员有权访问的其他 ScreenConnect 面板。

Huntress 研究人员 Ben Nahorney 和 Susannah Matt 表示：“这些恶意客户端会投递 SCKit，这是一个自定义恶意工具包，用于建立持久远程访问，并创建一个中继陷阱以拦截会话 cookie。”

“感染路径分为两个阶段：从受感染的终端到连接该终端的技术人员，再从技术人员的工作站到其面板能够连接的所有终端。然而，并非所有功能都在已观察到的事件中出现；部分功能是通过分析载荷发现的。”

SCKit 以加密载荷形式投递，并通过一个 Base64 编码的投放器（“sckit-run.bat”）传播，该投放器随后联系远程服务器获取 PowerShell 载荷（“sckit-decoder.ps1”），后者负责启动该工具包。

该恶意软件的其他组件旨在添加 Microsoft Defender 排除项、安装第二个由攻击者控制的 ScreenConnect 客户端、创建名为“TrapWatch”的计划任务，并用攻击者控制的副本替换合法的 ScreenConnect 安装。

有迹象表明，至少其中一个脚本是由大型语言模型（LLM）生成的，依据是其详细的源代码引用和解释功能的注释。

Huntress 表示：“在已观察到的行为之外，我们还重建了一项额外功能，旨在从技术人员的工作站传播到 ScreenConnect 面板。这是通过分析其脚本、配置和工具发现的。迄今为止，我们尚未观察到从受感染终端成功跳转到技术人员工作站，或从该工作站跳转到其他终端的情况。”

这涉及滥用该连接获取一个投放器（“Run-Lateral-Full.bat”），该投放器随后连接外部服务器（“ns.mo7sen[.]dev”）下载加载器，该加载器收集工作站的唯一 ID，将其发送回攻击者，并返回针对该特定工作站定制的加密工具包——

• “Panel-Lateral.ps1”，与“LabConfig.ps1”配合使用，从工作站窃取 .aspxauth 会话 cookie，并尝试将该 cookie 重放到面板，获取枚举该技术人员可访问的任何其他会话所需的令牌。

• “ToolboxRelayUploader.exe”，利用对任何其他会话获得的访问权限，将载荷“WithUninstall.ps1”上传到面板的共享工具箱。

Huntress 表示：“面板请求会告诉每个可达会话运行该工具箱项。该载荷旨在以 SYSTEM 权限在这些终端上运行，安装陷阱并延长循环。广播后约 60 秒，ToolboxRelayUploader.exe 会删除该共享工具箱项。”

更令人担忧的是，已观察到威胁行为者为每个受入侵的托管服务提供商（MSP）打上顺序编号标签。Huntress 表示，其观察到的标签从序列中间开始，表明其他 MSP 可能更早被入侵。建议 ScreenConnect 用户即使未收到警报，也检查其 Run Command 历史记录。

在另一份警报中，Sophos 表示其也观察到未经授权的 ScreenConnect 客户端部署，采用了相同的作案手法。该活动源自三个 ScreenConnect 实例 ID——

• d905b2b1b165d0a9

• 4b8f4089ddaac6a9

• df1f7ef0cfacd0d8

据怀疑，这些是受入侵的实例，被用于执行命令并部署额外的恶意实例，其 ID 如下——

• 2588ef5c15954b10

• ed630cc2c873b091

文章标题：ScreenConnect 攻击利用恶意客户端针对 48 个组织的至少 288 个端点

正文： “Curl.exe 从 185.99.255[.]28 下载了 ScreenConnect.ClientSetup.msi 到 C:\Windows\TEMP\sc.msi，”Sophos 解释道。“随后，一个由 ScreenConnect 生成的命令文件启动了 msiexec.exe，以静默方式安装该客户端。研究人员还观察到 ScreenConnect 脚本投放批处理文件，并使用带执行策略绕过参数的 PowerShell 从 ns[.]mo7sen[.]dev/EadF.php?p=4 获取第二阶段脚本。”

（此为持续报道，请稍后查看以获取更多细节。）