보안2026. 11. 12. 오후 4:17 UTC·2 분 소요

ScreenConnect RMM+ 플러그인 결함, 90분 만에 288대 감염

해커가 ScreenConnect 서드파티 확장 기능으로 90분 만에 288대에 악성코드를 심었습니다. ConnectWise는 약 400개 환경에서 확장 5개를 껐습니다.

An IT technician's workstation showing a remote support console with a red security warning over a list of infected computers. — 이미지: theregister

해커들이 ScreenConnect의 서드파티 확장 기능을 악용해 단 90분 만에 48개 조직의 PC 288대에 악성코드를 설치했습니다. ConnectWise는 수백 개 고객 환경에서 확장 기능 5개를 비활성화했습니다.

보안업체 Huntress는 수요일 Reddit에 경고글을 올렸습니다. 공격은 협정 세계시 17시 47분경 시작됐고, ScreenConnect의 원격 명령 기능으로 여러 IT 서비스 업체(MSP)가 관리하는 기기에 불법 클라이언트가 깔렸습니다. 약 3분의 1은 처음 10분 안에 감염됐습니다. 공격자가 피해자에게 순번을 매긴 정황이 있어, Huntress는 아직 파악하지 못한 MSP가 더 있을 수 있다고 봅니다.

ScreenConnect RMM+ 플러그인 취약점이란

RMM+는 다른 관리 도구가 ScreenConnect 콘솔 없이 명령을 보내도록 해 주는 서드파티 확장입니다. 1.0.31과 1.0.32 버전에는 접근 키를 설정하지 않은 설치가 빈 키를 받아들이는 결함이 있습니다. RMM+는 ScreenConnect의 일반 계정·인증과 별개로 동작하므로, 공격자가 MFA(다중 인증)를 뚫지 않고 명령을 실행할 수 있습니다. Huntress에 따르면 로그인 기록 없이 명령이 도달한 사례가 여러 설치에서 확인됐습니다. ScreenConnect 26.6.6.9747과 26.7.6.9783에서도 피해가 확인돼, 최신 버전이라고 안전한 것은 아닙니다.

SCKit 악성코드는 무엇을 하나

공격자는 16개 파일로 된 툴킷 SCKit을 썼습니다. 정상 연결이 끊겨도 접근을 유지하도록 별도의 ScreenConnect 클라이언트를 설치합니다. 조사하러 온 기술자를 노리는 함정도 있습니다. 기술자가 ScreenConnect로 접속하면 그 PC로 악성코드를 보내고 인증 쿠키를 훔쳐 다른 기기로 번지려 합니다. Huntress는 이 수법이 성공한 사례는 아직 못 봤다고 밝혔습니다. C# 코드 일부는 LLM으로 만들어졌을 것으로 의심합니다.

ConnectWise는 RMM+ 계열 확장이 하나 이상 설치된 환경을 약 400곳 확인했고, RMM+, RMM Plus, Labtech Plus 등 5개를 원격으로 가능한 범위에서 껐습니다. 400곳은 확장이 설치돼 있어 가려낸 것이지 모두 침해된 것은 아니며, ConnectWise 인프라나 ScreenConnect 자체의 취약점 증거는 없다는 입장입니다.

관리자는 어떻게 해야 하나

의심되는 기기는 ScreenConnect로 원격 접속해 조사하면 안 됩니다. 다른 보안 도구로 불법 클라이언트와 실행된 명령을 확인하고 악성코드를 제거해야 합니다. 확장 기능을 끄고 자격 증명을 재설정하는 것만으로는 부족하며, 격리를 푼 지 몇 분 만에 다시 감염된 기기도 있었다고 Huntress는 전했습니다.