Campaign nutzt CVE-2026-84869 in ScreenConnect; SCKit versucht, Privilegien zu klettern und zu schwenken

Eine aktive Kampagne gegen den Einsatz von ConnectWise ScreenConnect (auch bekannt als ConnectWise Control) basiert auf der Ausnutzung einer bereits bekannten und gepatelten Schwachstelle, nicht einem neuen Ausfall. Schwarzpunkt Cyber-Forscher haben ein schädliches Tool-Kit - genannt SCKit - identifiziert, das nutzt CVE-2026-84869 (CVSS 9.9), ein fehlendes Privileg Management und Autorisierungsfehler, die die Datei Ausführung von einer Remote-Aktivsitzung ohne Host-Bestätigung ermöglicht. Nach dem gemeinsamen Beweis des Unternehmens wird der Betrieb des Ausfalls blockiert, wenn der ScreenConnect-Client vollständig gepatelt ist, aber das Toolkit beinhaltet zusätzliche Techniken, um bereits authentifizierte Bedienersitzungen zu nutzen, was das Risiko auch bei Anwendung des Patches erhöht.

In bewährten Begriffen: Blackpoint Cyber erholte und analysierte das Toolkit und dokumentierte die folgende technische Angriffskette. Die bekannte Explosion versucht eine "guest-to-host-Datei-Ausführung" im Zusammenhang mit CVE-2026-84869; das Kit setzt auch Komponenten, die unberechtigte Zugriffskunden mit NT AUTHORITY\ installieren SYSTEM-Kontext und eine Funktion namens Zurück zur Übersicht"reverse-pivot": Infizieren Sie die Workstations von Technikern, die versuchen, einen bestimmten Endpunkt zu untersuchen, mit der Remote-Support-Funktionalität selbst als Ausbreitungsvektor. ConnectWise hat die Forschung erkannt und hat vorbeugende deaktiviert fünf Drittanbieter-Erweiterungen in einigen Partner-Umgebungen, während weiterhin zu untersuchen.

Technisch ist die Sequenz, die Blackpoint beschreibt, wie folgt: Der Angreifer nutzt die Funktionalität von ScreenConnect's Run Command, um eine Produktinstallation zu überprüfen, einen MSI-Installer, der vom Angreifer gesteuert wird (in der Analyse als "sc.msi"), der einen Batch-Dropper ("sckit-run.bat") herunterlädt, herunterzuladen einen PowerShell-Decoder ("scoder "Satz-decoder "s.ps1") von ahell", Wenn es Ihnen gelingt, den legitimen Gast zu ersetzen, versucht das Toolkit, die Nutzlast auf der Maschine des Verbindungstechnikers auszuführen und authentifizierte Sitzungen (z.B. Cookies .ASPXAUTH) aus Prozessspeicher- oder Browserdaten zu wiederherstellen, um sich seitlich zu bewegen.

Diese Techniken kombinieren die Sicherheitsausbeutung (Patch-Blocking) und den Missbrauch legitimer Produktfunktionalitäten (nicht nur mit dem Patch gelöst). Die eigentliche Gefahr besteht darin, dass, wenn ein legitimer Bediener bereits eine authentifizierte Sitzung gegen mehrere Client-Umgebungen hat - wie es in MSPs oft der Fall ist - das Tool den Zugang zu einem bestimmten Endpunkt in eine Tür verwandeln kann, um andere Netzwerke und Geräte zu erreichen, die von diesem Techniker verwaltet werden., Befehle mit SYSTEM Privilegien zu verteilen, ohne auf jeder Maschine eine separate Ausführungsmethode festzulegen.

Betroffene: Kunden, die ConnectWise ScreenConnect / Control (insbesondere MSPs und deren Partner) nutzen, die Arbeitsplätze von Technikern, die Remote-Verbindungen herstellen und durch Erweiterung die von diesen Technikern verwalteten Endkunden. In dem angemerkten Fall erkannte Huntress auch einen Authentifizierungsfehler in der RMM + Erweiterung (Versionen 1.0.31 und 1.0.32), der einen leeren Zugriffsschlüssel akzeptierte, wenn der Administrator ihn nicht konfigurierte, so dass Befehle ausgeführt werden können, ohne normale ScreenConnect Authentifizierungssteuerungen zu durchlaufen; ConnectWise hat zeitweise mehrere Erweiterungen als präventive Maßnahme blockiert.

Was bestätigt wird und was nicht ist: Es wird bestätigt, dass Blackpoint das Toolkit analysierte und dass seine Tests den Betrieb von CVE-2026-84869 in vollgeparkten Kunden blockierten; es wird bestätigt, dass das Toolkit Module für die Beharrlichkeit enthält, Gastsitzungen zu stören und zu versuchen, die Bedienersitzungen wiederherzustellen. Es wird jedoch nicht bestätigt, was war der anfängliche Zugriffsvektor in den beobachteten Vorfällen - Blackpoint zeigt, dass es mit böswilligen Erweiterungen verbunden sein könnte, aber es gibt nicht genug forensische Beweise, um "Patienten-Null" zu etablieren - und, bis der Bericht, es gibt keine öffentlichen Beweise, dass die Kampagne erfolgreich den Eingriff in technische Workstations verbreitet hat oder dass sie den CVE-Patch gewonnen hat.

Praktische Konsequenzen: In einem erfolgreichen Szenario kann ein Angreifer Beharrlichkeit in verwalteten Endpunkten erhalten, Code mit Systemprivilegien ausführen und authentifizierte Sitzungen von Technikern verwenden, um Malware zu verbreiten, Sitzungsberechtigungen zu stehlen und Payloads zu verteilen (ransomware, Miner, Datenexfiltration). Für Organisationen, die die Verwaltung an MSPs delegieren, bedeutet dies, dass ein Zwischenfall in einem einzigen Endpunkt in mehrere Client-Umgebungen klettern kann, wenn Operation Sitzungen nicht geschützt sind.

Was die Organisationen jetzt tun sollten (betonte und vorrangige Maßnahmen): 1) Patches sofort anwenden. Überprüfen Sie, dass alle ScreenConnect / ConnectWise Control Komponenten - Server und Kunden - auf die Version aktualisiert werden, die CVE-2026-84869 repariert; Blackpoint Tests zeigen, dass die bekannte Explosion nach der Aktualisierung blockiert wird. Sehen Sie die offiziellen Informationen und die Lieferantenführer im ConnectWise Trust Centre: https: / / www.connectwise.com / Firma / Trust-center.

2) Drittanbieter-Erweiterungen deaktivieren oder überprüfen. Wenn Sie On-Premises-Instanzen geben, deaktivieren Sie alle Drittanbieter-Erweiterungen, die Sie nicht benötigen und überprüfen diejenigen, die installiert sind; ConnectWise hat einige Erweiterungen als Vorsichtsmaßnahme blockiert. Huntress hat einen spezifischen Ausfall in RMM + (v1.0.31 / 1.0.32) gemeldet, der sofortige Aufmerksamkeit und Minderung verdient; siehe auch Quellen des Erweiterungsanbieters oder Entwicklers.

3) Zur Erkennung und Untersuchung von Verlobungszeichen. Suchen Sie nach technischen Indikatoren, die Blackpoint dokumentiert hat: Aufzeichnungen von ungewöhnlichen Run Command-Ausführungen, MSI-Einrichtungen mit Namen wie "sc.msi", Anwesenheit von Dateien oder Skripten wie "sckit-run.bat", "sckit-decoder.ps1" oder "SilentForceInstall-WithUninstall.ps1," ausgehende Kommunikation zu verdächtigen Domänen, die in der Untersuchung beobachtet wurden, und Erstellung von unberechtigten. Isolieren und bewahren Sie Beweise vor der Reinigung auf, um eine forensische Analyse zu ermöglichen.

(4) Stärkung des Schutzes technischer Sitzungen und Stationen. Multifaktor-Authentifizierung für Verwaltungskonten und gegebenenfalls zusätzliche Kontrollen für Massenverwaltungsaktionen (Revalidierung, obligatorische Aufzeichnungen). Minimieren Sie lokale Privilegien in den Maschinen der Techniker und begrenzen Sie ihr Verwaltungsspektrum durch Netzwerksegmentierung. Überwachen und beschränken Sie Erweiterungen, die freigegebene Schlüssel speichern oder außerhalb des normalen ScreenConnect-Authentifizierungsmodells arbeiten.

5) Antwort und Benachrichtigung vorbereiten. Wenn Sie verdächtige Aktivitäten erkennen, die betroffenen Endpunkte isolieren, Speichererfassung und relevante Datensätze aktivieren, Anmeldeinformationen und Token ändern, die möglicherweise ausgesetzt wurden, und die Antwort mit Ihrem MSP-Anbieter oder auffallenden Antwortanbietern koordinieren. Für Empfehlungen zur Reaktion auf Vorfälle und zur guten Genesung siehe offizielle Ressourcen wie der Katalog der ausgenutzten Schwachstellen und die CISA-Führer: https: / / www.cisa.gov / Wissens-exploited-vulnerabilities-catalog und https: / / www.cisa.gov / stopransomware / identifizieren-protect-detect-respond-recover.

Um die von den Teams veröffentlichten technischen Analysen der Kampagne (z.B. Blackpoint Cyber und Huntress) und der offiziellen Kommunikation von ConnectWise weiter zu überprüfen. Die verfügbaren Beweise verstärken eine praktische Schlussfolgerung: Parken ist essenziell, aber nicht genug auf eigene Faust, solange die Operator-Session-Prozesse, Drittanbieter-Erweiterungen und Privilegien weiterhin Missbrauchsvektoren aussetzen, die es einem Angreifer ermöglichen, einen Endpunkt zu transformieren, der einer Rampe in andere verwaltete Umgebungen begangen wird. Halten Sie aktuelle Bestandsaufnahmen, strenge Zugangskontrollen und Überwachung von Verwaltungstätigkeiten als wesentliche Maßnahmen zur Verringerung dieses Risikos.