ScreenConnect zafiyeti: 48 kurumdan 288 uç noktada yetkisiz istemci

Güvenlik şirketi Huntress'in takibi, saldırganların bulut tabanlı ScreenConnect panellerindeki 'Run' komutlarını yetkili olarak kullanarak, en az 288 yönetilen uç noktaya ait 48 kurumda yetkisiz ScreenConnect istemcilerini dağıttığını ortaya koydu. Olay, 11 Kasım 2026'da saat 17:47 UTC civarında ilk kez tespit edildi. Ağırlıklı olarak sızıntı yaşamış ekran görüntüleri veya ele geçirilmiş operatör oturumlarının başlangıç erişimi için kullanıldığına inanılıyor.
Saldırının, bir uç noktadan bir teknik personele, oradan da ekran görüntüsü aracılığıyla diğer tüm uç noktalara bulaşma yeteneğine sahip SCKit'in yerleştirilmesi yoluyla kurt benzeri bir yayılma modeli izlediği gözlemlendi. Teknik personel, enfekte uç noktalara bağlantı kurduğunda zararlı yazılım, tarayıcı oturumlarını ve kimlik doğrulama anahtarlarını çalınarak başka panellere dağıtım yapma fırsatı sunar.

ConnectWise, üçüncü parti eklentilerin devre dışı bırakılmasını tavsiye etti​

ConnectWise, üçüncü taraflı eklentilerle raporlanan yetkisiz erişim olayı sonucunda, partner ortamlarındaki beş eklentiyi önleyici tedbir olarak devre dışı bıraktı. Şirket, olayın kendi altyapılarına veya ScreenConnect yazılımının zafiyetine işaret etmediğini vurguladı. Bunun yerine, şifre kelimeleri ile korunan eklentilerin kötüye kullanılması nedeniyle panel erişiminin ele geçirildiği tespit edildi. Bu eklentiler arasında Labtech Plus, RMM Plus ve Toolbox bileşenleri yer alıyor.
Kurum, partnerler tarafından eklentilerin devre dışı bırakılmasını, güvenlik kontrollerinin aktif tutulmasını ve şüpheli aktivitelere ait günlüklerin saklanmasını tavsiye etti. Ek olarak, normal olmayan oturum açmalar, beklenmedik çok faktörlü kimlik doğrulaması (MFA) uyarıları ve yetkisiz uzaktan erişim yazılımlarına karşı tetikte olunması gerektiği belirtildi.

SCKit ile istek dağıtımı ve kalıcı erişim​

SCKit, şifreli veri taşıyıcısı olarak sunuluyor ve sckit-run.bat adı verilen Base64 kodlu dağıtıcı aracılığıyla uzak sunucularla iletişim kurarak sckit-decoder.ps1 betiğini getirme yeteneğine sahip. Bu betiğin görevi, saldırı aracını başlatmak.
Salınan diğer bileşenler, Microsoft Defender istisnaları ekleme, ikinci bir saldırgan-ayarlı ScreenConnect istemcisi yerleştirme ve TrapWatch adlı zamanlanmış görevi oluşturma gibi işlevleri yerine getiriyor. Bazı betiklerin bir sohbet modeli tarafından üretildiği düşünülüyor.
Saldırganlar, enfekte MSP'leri (Yönetilen Hizmet Sağlayıcıları) art arda numaralandıran etiketler kullanmıştır. Huntress, şifreli erişimin bir dizi MSP'de yapıldığını belirtirken, şimdilik bir uç noktadan teknik personele, oradan da diğer uç noktalara dağıtım başarısızlığı gözlemlendiğini aktardı.

Güvenlik ekiplerine öneriler​

ScreenConnect kullanıcıları, uyarı alınmadığı halde 'Run Command' geçmişlerini gözden geçirmesi öneriliyor. Sophos güvenlik şirketi de aynı iş modeline uygun yetkisiz istemci dağıtımını tespit etti. Enfekte ekran görüntüsü kimlikleri, 185.99.255[.]28 IP adresinden Curl.exe kullanılarak ScreenConnect istemcisi dağıtımını başlattığı rapor edildi.