SCKit Malware, ScreenConnect Bağlantılarını MSP Siber Saldırısı Yolu Dönüştürüyor

Siber güvenlik firması Blackpoint Cyber'ın Adversary Pursuit Group (APG) ekibi, The Hacker News'e sağladığı bulgulara göre, ConnectWise ScreenConnect altyapısına yönelik devam eden kampanyanın arkasındaki saldırı aracının yeni bir güvenlik açığı değil, düzeltilmiş kritik bir açığı kullandığını ortaya koydu. Ekibin kurtardığı 'SCKit' saldırı kiti, CVSS puanı 9.9 olan CVE-2026-84869 zafiyetini istismar ediyor. Bu zafiyet, yetkisiz kullanıcıların aktif bir uzaktan oturum üzerinden dosya aktarımı yapabilmesine ve komut çalıştırmasına izin veren bir ayrıcalık yönetimi hatası olarak tanımlanıyor.
APG araştırmacıları Sam Decker ve Nevan Beal, tamamen yamalanmış bir ScreenConnect istemcisine yapılan testlerde kötü amaçlı yazılımın yükünün engellendiğini doğruladı. Ancak araştırmacılar, kiti içeren başka bir yetenek grubunun yamalardan etkilenmediğini belirtiyor. Bu yetenek, zaten yetkilendirilmiş operatör oturumlarını ele geçirmeye ve meşru ScreenConnect yönetimi özelliklerini kötü amaçlı kod dağıtmak için kullanmaya izin veriyor. Dolayısıyla, yamalar bilinen zafiyeti kapatsa da ele geçirilmiş bir operatör oturumu riskini tamamen ortadan kaldırmıyor.

SCKit Teknolojisi ve RelayTrap Mekanizması​

SCKit kötü amaçlı yazılımı, hedeflenen sistemlerde çalışmak için platformun yerleşik komut yürütme özelliklerini kullanıyor. Saldırgan, öncelikle mevcut bir ScreenConnect kurulumunu kontrol ettikten sonra saldırganın kontrolündeki 'sc.msi' adlı kurulum dosyasını indiriyor ve çalıştırıyor. Bu dosya, 'sckit-run.bat' toplu iş betiğini dağıtıyor. Bahsi geçen betik, 'ns.mo7sen[.]dev' adresine bağlanarak 'sckit-decoder.ps1' adlı PowerShell şifre çözücüsünü getiriyor ve SCKit bileşenlerini dağıtıyor. Bu süreçte, yetkisiz iki ScreenConnect Access istemcisi aracılığıyla kalıcı uzaktan erişimi sağlamaya yönelik 'SilentForceInstall-WithUninstall.ps1' betiği de devreye giriyor.
Kitin en dikkat çekici bileşeni ise 'RelayTrap' olarak adlandırılıyor. Bu yetenek, şüpheli bir faaliyetin incelenmesi için yönetilen bir uç noktaya bağlanan teknik servis çalışanının masaüstü bilgisayarını enfekte etmek için ters yönlendirmeyi (reverse-pivot) amaçlıyor. Sistemin 'ScreenConnect Guest' öğesinin meşru versiyonunu değiştirerek saldırganın yükünü, bağlantıyı kuran teknisyenin oturumuna geri yönlendirmesi, CVE-2026-84869 ile ilişkili bir misafir-ana bilgisayar dosya yürütme tekniği olarak öne çıkıyor. Bu başarılı olursa, kötü amaçlı yazılım, teknisyenin otantikasyondan geçmiş tarayıcı oturumlarını (örneğin .ASPXAUTH çerezleri) kurtarıp mevcut yönetim izinlerini kullanarak komutları kendi erişim alanındaki diğer uç noktalara yaymaya çalışıyor.

Operatör Oturumları ve Tarayıcı Verisi Hırsızlığı​

Saldırının nihai hedefi, farklı müşterilerin yönetilen uç noktalarına düzenli olarak erişen ve genellikle yönetim araçlarına sahip masaüstü bilgisayarlarından çalışan teknisyenler olarak görünüyor. Bu durum, saldırganın ilk ele geçirilen sistemi aşarak, daha geniş erişim ve yetkilere sahip bir çevreye, yani teknisyenin kendi bilgisayarına sızmaya olanak tanıyor. Kötü amaçlı yazılım teknisyenin makinesine yerleştiğinde, uzaktan destek manipülasyonundan oturum hırsızlığına geçiyor. Bu aşamada, tarayıcı verisi ve süreç hafızasını tarayarak yetkilendirilmiş yönetim oturumunu kurtarmaya çalışıyor. Araştırmacılar, SCKit'in bu taktikle tek bir yönetilen uç noktaya erişimin, o teknisyenin kontrolündeki diğer sistemlere ulaşma fırsatına dönüştürülmeye çalışıldığını vurguluyor.

ConnectWise, Huntress ve Üçüncü Taraf Eklentiler​

ConnectWise, en son olaya yanıt olarak önleyici bir tedbir olarak ortak ortamlarındaki beş üçüncü parti uzantısını devre dışı bıraktı. Blackpoint Cyber, bu uzantılar ile SCKit arasında teknik bir bağlantı bulunmadığını belirtti. Öte yandan Huntress firması, ConnectWise tarafından engellenen üçüncü parti ScreenConnect uzantılarından biri olan RMM+'ın 1.0.31 ve 1.0.32 sürümlerinde ciddi bir kimlik doğrulama hatası tespit ettiğini açıkladı. Açıklamaya göre, yöneticiler bir erişim anahtarı yapılandırmadığında uzantı boş bir anahtar kabul edebiliyor; bu da komutların ScreenConnect'in normal kimlik doğrulama kontrollerinden geçmeden çalıştırılmasına izin verebiliyordu. Bu zafiyet, çok faktörlü kimlik doğrulmayı atlatarak birden fazla instance üzerinden komut iletmeye olanak sağlamış görünüyor.
Geçmişte CVE-2026-84869 açıklığı, saldırganların kötü amaçlı bir Visual Basic Script yükünü yayarak XMRig kripto para madencisi servise sunmak için ScreenConnect'i kullandığı saldırılarda da istismar edilmişti. Zafiyet, CISA tarafından Eylül 2026'da Bilinen İstismar Edilen Zafiyetler kataloğuna eklenmişti. Blackpoint Cyber'a göre, ilk yayılmada başarısız olunduğu kanıtlanmamıştı ve CVE-2026-84869'un yamasının aşıldığına dair teknik kanıt da mevcut değildi. İlgili taraflar, yamalara ek olarak operatör oturumlarını korumak için daha sıkı oturum doğrulaması ve toplu idari işlemler için ek kimlik doğrulama gerekliliğinin altını çizdi.

Sıkça Sorulan Sorular​

SCKit saldırısı CVE-2026-84869 açıklarını nasıl istismar ediyor?​

APG araştırmacıları, SCKit kitinin CVE-2026-84869 zafiyetini hedef aldığını doğruladı. Bu zafiyet, yetkisiz bir aktörün aktif bir uzaktan oturum üzerinden dosya aktarımı yapmasına ve komut çalıştırmasına izin veriyor. Tamamen yamalanmış istemcilerde bu istismarın engellendiği tespit edildi, ancak kitin yetkilendirilmiş oturumları ele geçirme yeteneği yamadan etkilenmiyor.

RelayTrap bileşeninin asıl amacı nedir?​

RelayTrap, yönetilen bir uç noktayı incelemeye çalışan teknisyenleri hedef alan 'reverse-pivot' (ters yönlendirme) yeteneğini içeriyor. Meşru ScreenConnect Guest bileşenini değiştirerek saldırganın yükünü teknisyenin oturumuna geri döndürmeye çalışıyor. Böylece, saldırgan teknisyenin otantikasyondan geçmiş tarayıcı oturumunu kurtararak yönetim erişimini diğer uç noktalara yaymayı hedefliyor.

Yamaların uygulandığı durumlar tamamen güvende mi?​

Hayır, yamalar CVE-2026-84869 istismarını engelleseler de SCKit kitinin yetkilendirilmiş operatör oturumlarını ele geçirme kapasitesi aynı kalıyor. Araştırmacılar, yamanın bilinen zafiyeti kapattığını ancak ele geçirilmiş bir operatör oturumunun yarattığı riski ortadan kaldırmadığını belirtiyor. Bu nedenle oturum yönetimi ve tarayıcı oturumu güvenliği için ek önlemler öneriliyor.

Huntress'in RMM+ uzantısında bulduğu hata ne işlev görüyor?​

Huntress, RMM+ uzantısının 1.0.31 ve 1.0.32 sürümlerinde, yöneticiler bir erişim anahtarı yapılandırmadığında uzantının boş bir anahtarı kabul ettiğini tespit etti. Bu durum, komutların ScreenConnect'in normal kullanıcı hesapları ve kimlik doğrulama kontrollerini atlayarak cihaz üzerinde çalıştırılmasına olanak sağlıyor. Bu zafiyet, çok faktörlü kimlik doğrulmanın bile by-pass edilmesine yarayabiliyor.

ConnectWise yetkilileri ilk erişim yöntemi hakkında ne biliyor?​

ConnectWise sözcüsü, ilk erişim yönteminin henüz doğrulanmadığını, ancak başlangıç değerlendirmesinin aktivitenin bağımsız üçüncü parti uzantılarının kötüye kullanımını içerebileceğini öne sürdüğünü bildirdi. Şirket, kendi altyapısındaki ve yerinde (on-premises) ortaklar için bu uzantıları devre dışı bırakmaya yönlendirdi ve durumun takibinin Trust Center üzerinden yapılacağını duyurdu. İlk erişim konusunun tamamen kesinleşmesi için daha fazla forensik kanıt gerekiyor.