SCKit, teknik destek oturumlarını MSP saldırısına dönüştürüyor

ConnectWise ScreenConnect altyapısına yönelik yeni bir siber saldırı kampanyası, yamalanmış kritik bir güvenlik açığının aktif olarak istismar edildiğini ortaya koydu. Blackpoint Cyber'ın Adversary Pursuit Group (APG) birimi tarafından incelenen ve SCKit adı verilen saldırgan kiti, mevcut yamaların bilinen istismarı engellediğini ancak yetkilendirilmiş operatör oturumları ele geçirildiğinde risklerin devam ettiğini gösteriyor.

SCKit Mekanizması ve Saldırı Zinciri​

Araştırmacılar, SCKit'in tam olarak giderilmiş CVE-2026-84869 açığını hedef aldığını ve bu sayede onay mekanizmalarını atlatarak dosya transferi ve kod çalıştırma kapasitesine sahip olduğunu doğruladı. Saldırı, mevcut ScreenConnect kurulumunu kontrol ettikten sonra saldırgan tarafından kontrol edilen 'sc.msi' kurulum dosyasını indirip çalıştırmakla başlar. Bu adımdan sonra kullanılan 'sckit-run.bat' komut dosyası, 'ns.mo7sen[.]dev' adresine erişerek 'sckit-decoder.ps1' adlı PowerShell çözücüsünü çeker ve SCKit bileşenlerini dağıtmak için devreye sokar. Süreç, yetkisiz iki ScreenConnect Access istemcisi yerleştirerek kalıcı uzak erişim sağlayan 'SilentForceInstall-WithUninstall.ps1' betiği ile devam eder.

RelayTrap ile Teknik Ekibe Geri Dönüş​

Kitin dikkat çekici özelliği, RelayTrap olarak adlandırılan işlevselliğidir. Bu bileşen, yönetilen bir uç noktada şüpheli faaliyetleri araştırmaya çalışan teknik görevlilerin istasyonlarına geri dönerek (reverse-pivot) onları etkilemeye çalışır. SCKit, meşru ScreenConnect Guest istemcisini değiştirerek SCKit yüklemesini bağlanan tekniçiyen yönlendirir. Bu adım başarıya ulaşırsa, yazılım tekniçinin kimlik doğrulaması yapılmış tarayıcı oturumlarını kurtarmaya çalışır.
Ele geçirilen oturum verileri, saldırganın tekniçinin sahip olduğu mevcut yönetim yetkilerini kullanarak komutları ek uç noktalara dağıtmasını sağlar. Saldırganlar, komutları var olan ScreenConnect ajanları üzerinden NT AUTHORITY\SYSTEM bağlamında çalıştırarak her makinede ayrı bir çalışma yöntemi geliştirmesine gerek kalmadan ek yazılım dağıtabiliyor.

Teknik Ekibin İstasyonlarını Hedef Alma​

Saldırının nihai hedefi, farklı müşterilere ait uç noktalara düzenli olarak bağlanan teknik görevlilere ulaşımdır. Tekniçi bilgisayarına sızan yazılım, uzak destek manipülasyonundan oturum hırsızlığına geçerek makinedeki yerel tarayıcı verilerini ve işlem belleğini tarar. Bu sayede, makineyi yönetme yetkisi olan ASPXAUTH çerezleri gibi mevcut oturum kimlik doğrulama bilgileri kurtarılır.
ConnectWise, son olaya yanıt olarak partner ortamlarındaki beş üçüncü taraf uzantıyı önleyici bir tedbir olarak devre dışı bıraktı. Ancak araştırmacılar, bu uzantılar ile SCKit arasında teknik bir bağlantı bulunmadığını belirtti. Şu an için saldırının teknik görevli istasyonlarına başarılı bir şekilde yayıldığına veya CVE-2026-84869 yamasını aşarak çalıştığına dair bir kanıt bulunmuyor.

Yönetim İlişkisi ve Güvence Adımları​

Blackpoint Cyber, kurumların yalnızca uç noktayı değil, yönetim ilişkisini de incelemesi gerektiğini vurguluyor. Yetkisiz Access kurulumları, yönetici komut geçmişi, teknik görevli istasyonları ve tarayıcı oturumları, özellikle destek personeli şüpheli bir sisteme bağlandıysa dikkat edilmesi gereken unsurlar arasında sayılıyor. Araştırmacılar, yüksek etki yaratan idari işlemler etrafında daha sıkı oturum doğrulama ve ek kimlik doğrulama korumaları uygulanmasını öneriyor.

Sıkça Sorulan Sorular​

SCKit hangi güvenlik açığını kullanıyor?​

SCKit, yamalanmış olmakla birlikte istismarı tam olarak engellenmemiş olabilecek CVE-2026-84869 açığını hedef alıyor. Bu açık, yetkisiz dosya transferi ve kod çalıştırma kapasitesi sağlıyor.

Yama yapmak saldırıyı tamamen durdurur mu?​

Yama, bilinen istismarın çalıştırılmasını engeller. Ancak yetkilendirilmiş operatör oturumlarının ele geçirilme riski devam ettiği için oturum korumaları tek başına yeterli olamıyor.

RelayTrap bileşeni nasıl çalışır?​

RelayTrap, teknik görevlinin şüpheli bir uç noktaya bağlandığı an devreye girer. Meşru Guest istemcisini değiştirerek saldırgan kodunu tekniçiye yönlendirir ve mevcut yönetim yetkilerini ele geçirmeyi hedefler.

ConnectWise bu sızıntaya nasıl yanıt verdi?​

ConnectWise, partner ortamlarındaki beş üçüncü taraf uzantıyı devre dışı bırakarak önleyici bir tedbir aldı. Araştırmacılar bu uzantıların SCKit ile doğrudan bağlantılı olmadığını belirtiyor.

Teknik görevliler için en büyük risk nedir?​

Teknik görevliler, farklı müşterilere ait uç noktalara erişim sağlamakta olduğundan, istasyonlarına sızan SCKit'in onları hedef alması daha geniş bir alan için saldırganlara yetki verebiliyor.