Bezpieczeństwo12 lis 2026, 16:17 UTC·2 min czytania

ScreenConnect: luka we wtyczce RMM+ pozwoliła zhakować 288 PC

Atakujący użyli wtyczki do ScreenConnect, by w 90 minut zainstalować malware na 288 komputerach. ConnectWise wyłączyło pięć rozszerzeń w około 400 środowiskach.

An IT technician's workstation showing a remote support console with a red security warning over a list of infected computers. — Zdjęcie: theregister

Wystarczyło 90 minut, by atakujący zainstalowali złośliwe oprogramowanie na 288 komputerach w 48 organizacjach. Wszystko przez wtyczkę do ScreenConnect, popularnego narzędzia do zdalnej pomocy technicznej. Luka w rozszerzeniu RMM+ może pozwalać na ominięcie MFA.

Pierwszy alarm podała firma Huntress we wpisie na Reddicie. Atak zaczął się około 17:47 UTC: ktoś użył funkcji zdalnych poleceń w ScreenConnect, by zainstalować nieautoryzowanych klientów na maszynach zarządzanych przez kilku dostawców usług IT (MSP). Około jednej trzeciej komputerów padło w pierwszych dziesięciu minutach. Huntress podejrzewa, że ofiar jest więcej, bo napastnicy numerowali je kolejno, a numeracja wskazuje na wcześniejsze, niewykryte ataki.

Na komputery trafił 16-plikowy zestaw SCKit. Instaluje on osobnego klienta ScreenConnect, który zachowuje dostęp nawet po zamknięciu legalnego połączenia. Zawiera też kod mający zarazić techników IT i klientów, którymi się opiekują. Huntress podejrzewa, że część kodu w C# napisał model językowy, bo komentarze są nietypowo szczegółowe.

Na czym polega luka w RMM+?

RMM+ to rozszerzenie firm trzecich, dzięki któremu inne narzędzia do zarządzania mogą wydawać polecenia przez ScreenConnect bez konsoli technika. Wersje 1.0.31 i 1.0.32 mają błąd: instalacje bez skonfigurowanego klucza dostępu akceptują pusty klucz. RMM+ działa poza zwykłymi kontami i uwierzytelnianiem ScreenConnect, więc napastnik może wykonywać polecenia bez łamania MFA. Huntress widziała polecenia docierające do maszyn bez śladu logowania. Zaatakowane były wersje ScreenConnect 26.6.6.9747 i 26.7.6.9783, więc najnowsze wydania nie gwarantowały bezpieczeństwa.

Co zrobiło ConnectWise?

Firma wyłączyła pięć rozszerzeń, w tym RMM+, RMM Plus i Labtech Plus, wszędzie tam, gdzie może to zrobić zdalnie. Zidentyfikowała około 400 instalacji z co najmniej jednym rozszerzeniem z rodziny RMM+, ale podkreśla, że to nie znaczy, iż wszystkie zostały zaatakowane. Klientów z własnymi serwerami prosi o to samo. Według ConnectWise nie ma dowodów na włamanie do jego infrastruktury ani na podatność w samym ScreenConnect.

Malware ma też pułapkę na technika: gdy ten połączy się przez ScreenConnect, próbuje przenieść złośliwy kod na jego stację, ukraść ciasteczka uwierzytelniające i zarazić kolejne maszyny. Huntress nie widziała jednak, by to się udało. Obie firmy radzą nie sprawdzać podejrzanych komputerów zdalnie przez ScreenConnect, tylko innymi narzędziami, szukać nieautoryzowanych klientów i sprawdzać wykonane polecenia. Zostawione malware trzeba usunąć, bo część maszyn zakażała się ponownie w kilka minut po wyjęciu z izolacji. Samo wyłączenie wtyczek i reset haseł może nie wystarczyć.