LONDON (IT BOLTWISE) – Sicherheitsforscher beschreiben eine wurmartige Angriffslogik, die per ConnectWise ScreenConnect neu verbundene Hosts mit einer vierstufigen VBScript-Kette infiziert. Die kompromittierten Clients starten wiederholt wscript.exe und treiben die Kette über 1.vbs bis 4.vbs in unterschiedlichen Nutzlast-Varianten voran. Je nach System- und Security-Status werden Backdoor-Funktionen, UAC-Bypass-Tools, Persistenz sowie ein Cryptocurrency-Miner aktiviert. ConnectWise reagiert mit einem Advisory und empfiehlt bis zum Fix, Dateitransfer in Support- und Access-Sitzungen zu deaktivieren.
Bei ScreenConnect ist die Grenze zwischen Fernwartung und Übertragungsmechanismus dünn: Genau diese Brücke nutzen die nun beschriebenen Angreifer aus. Sicherheitsforschende haben für August 2026 drei voneinander unabhängige Vorfälle dokumentiert, die jeweils über unterschiedliche Initialzugriffe starteten – einmal über einen Quick-Assist-Tech-Support-Scam, einmal über einen Phishing-Angriff mit einem MSI-Installer und einmal über eine gefälschte „Refund“-Masche. Auffällig ist dabei nicht nur die gemeinsame Endphase, sondern die Tatsache, dass die kompromittierten ScreenConnect-Clients später selbst neue Verbindungen „ausnutzen“ und die gleiche vierstufige VBScript-Kette wiederholt ausrollen können.
Technisch betrachtet läuft der Kernangriff über eine wiederkehrende Ausführung von wscript.exe im Kontext des Rogue-Clients. Nachdem ScreenConnect-Clients installiert waren, spawnten die Systeme wiederholt wscript.exe, um die vier Skripte 1.vbs, 2.vbs, 3.vbs und 4.vbs zu starten. In den drei Fällen unterscheiden sich die ersten Schritte: In einem Szenario führte das Ausführen von Quick Assist nach der Benutzerinteraktion zu einer Remote-Zugriffs-Instanz, die anschließend eine RAR-Archivdatei mit den vier VBS-Dateien von einem im Bericht genannten Ziel abholte und daraus die Chain startete. In einem anderen Fall brachte ein per Phishing vermittelter „ScreenConnect.ClientSetup.msi“-Installer einen Rogue-Client auf den Host; dieser kommunizierte danach mit einer festgelegten IP-Adresse über den ScreenConnect-Port 8041, bevor die vier VBS-Dateien direkt aus dem temporären ScreenConnect-Verzeichnis gestartet wurden. Beim dritten Ansatz kam es durch eine Suche nach einem gefälschten Geek-Squad-Refund-Formular zur Auslieferung eines Rogue-Clients („ScreenConnect.Client.exe“), der wiederum eine Verbindung zu einer beschriebenen Domain aufbaute und danach ebenfalls die vier Skripte per wscript.exe aus dem Temp-Ordner anstieß.
Die eigentliche „Entscheidungslogik“ steckt in Schritt 1.vbs: Das Skript erstellt einen Host-Profilabgleich und prüft dabei unter anderem, ob genügend RAM vorhanden ist (im Bericht wird als Beispiel ein Schwellwert von „über 5 GB“ genannt), ob bereits ein ScreenConnect installiert ist und welche Sicherheitsprodukte auf dem Endpoint laufen. Besonders relevant ist, dass 1.vbs die Ergebnisse als dreistellige, binär interpretierbare Zustandsinformation in eine Datei unter „%TEMP%\value.txt“ schreibt – als Beispiel wird „000“ für den Fall genannt, dass kein bestehendes ScreenConnect und keine weiteren ScreenConnect-Clients im Program Files-Verzeichnis gefunden wurden und dass bestimmte Sicherheitsprozesse nicht vorhanden seien. Schritt 2.vbs wartet anschließend auf das Vorliegen von „%TEMP%\value.txt“, prüft darin nach dem Wort „abort“ und lädt nur im passenden Zweig eine Datei nach, deren URL laut Bericht über Dropbox bezogen wurde. Die Inhalte werden in %TEMP\map.txt abgelegt, werden aber im Bericht ausdrücklich als nicht direkt ausgeführt beschrieben; dass die Dropbox-URL zum 2. September 2026 nicht mehr erreichbar war, erschwert eine vollständige Rekonstruktion der genauen Nutzlast. Schritt 3.vbs folgt dem gleichen Muster, wartet auf „%TEMP%\map.txt“, setzt dann anhand der Zustandswerte aus „%TEMP%\value.txt“ den nächsten Download um und schreibt eine weitere Phase in „%TEMP%\out.enc“.
Die Kettensteuerung endet in 4.vbs, die wiederum auf das entschlüsselte Zielobjekt wartet und anschließend ein lokales PowerShell-Runner-Skript („%TEMP%\runner.ps1“) startet. Dieser Teil ist für das Verständnis der Folgewirkung entscheidend: Das Entschlüsseln von „%TEMP%\out.enc“ wird genutzt, um weitere Artefakte abzulegen – unter anderem in „%APPDATA%\Microsoft\Windows\Templates\Classic\sys_cache.zip“ – und um ein zweites PowerShell-Skript („PyTorchFix.ps1“) nachzuladen bzw. auszuführen. Je nach Zustand sind mindestens drei Nutzlast-Varianten im Bericht genannt: „000“ und „001“ sollen zu einem benutzerkontextuellen ScreenConnect-Backdoor-Zugriff führen, während „010“ Werkzeuge für Privilege Escalation inklusive eines UAC-Bypass-Mechanismus sowie Persistenz bereitstellt. Der Zweig „011“ wird dagegen mit Tunneling-Utilities und einem Cryptocurrency-Miner in Verbindung gebracht. Zusätzlich enthält 4.vbs in dem Bericht konkrete Aufräum- und Gegenmaßnahmen: Es beendet wscript.exe- und cscript.exe-Prozesse, löscht das Staging-Verzeichnis nach der finalen Ausführung und schreibt die vier VBS-Dateien unter „C: \Users\Public\Libraries\Default\Lib\Lib1“, sobald der Wert in „%TEMP%\value.txt“ auf „010“ oder „011“ steht.
Damit entsteht die im Bericht beschriebene wurmartige Eigenschaft: Ein infizierter Host wird nicht nur einmal kompromittiert, sondern fungiert über das backdoored ScreenConnect-Client-Verhalten als Zustellplattform. Das bedeutet praktisch, dass bei jeder neuen Host-Verbindung die kompromittierte Instanz die vierstufige VBScript-Chain erneut „anstößt“; der Bericht nennt als Beispiel eine serverseitige Host-Instanz, die bei Verbindung zu einem infizierten ScreenConnect-Client die gleichen Schritte wiederholt durchläuft. Gleichzeitig versucht das Skript, wiederholtes Targeting innerhalb einer Session zu vermeiden, indem es eine ConnectionID erfasst und später beim Disconnect wieder entfernt – wodurch eine spätere Reconnekt-Situation die Infektion erneut auslösen kann. Als weitere Indikatoren werden im Bericht außerdem ein WindowsServiceHost User Run Key mit „WindowsServiceHost.vbs“ im AppData-Verzeichnis des Nutzers genannt. Daneben traten laut Bericht auch andere RMM- bzw. Remote-Management-Werkzeuge wie UltraViewer auf betroffenen Systemen; das macht deutlich, dass die Kampagne nicht nur „ScreenConnect alleine“ missbraucht, sondern in der Praxis auch in bestehende Wartungs-Setups eingebettet sein kann.
Für die Verteidigung ist besonders der Zweig „011“ relevant, weil er auf ein sehr spezifisches Endpoint-Setup zugeschnitten sein soll: Laut Beschreibung entspricht er einem Zustand, in dem kein bestehendes ScreenConnect installiert ist, Microsoft Defender das einzige Endpoint-Schutzprodukt ist und keine ScreenConnect-Clients im Program Files-Verzeichnis vorhanden sind. In dieser Konstellation werden Funktionen genannt, die Defender-Reporting drosseln bzw. unterdrücken, außerdem Windows Memory Integrity deaktivieren und einen Miner wie XMRig nachladen. Angesichts der beschriebenen Komplexität – mehrstufige Zustandsabfragen, entschlüsselte Staging-Artefakte und unterschiedliche Nutzlastpfade – empfiehlt das Huntress SOC, betroffene Systeme aus bekannten „Good“-Medien neu aufzusetzen oder eine saubere Neuinstallation durchzuführen. Als Reaktion darauf hat ConnectWise außerdem ein Advisory veröffentlicht und darin ein Problem adressiert, das das Dateitransfer-Verhalten innerhalb von ScreenConnect Remote Access Support und Access-Sessions betrifft; laut Hinweis soll der Effekt sowohl Cloud- als auch On-Premise-Deployments betreffen. Bis zur Verfügbarkeit eines Fix empfiehlt ConnectWise, die TransferFiles-Berechtigung in den Rollen für Techniker zu deaktivieren: Dazu sollen Administratoren in der Administration-Seite die Rollen bearbeiten, jede relevante Session Group prüfen und die Option „TransferFiles“ (bzw. in älteren Versionen „TransferFIlesInSession“) abwählen, anschließend speichern und das für alle Rollen im jeweiligen Setup wiederholen.
Unternehmen, die ScreenConnect als Wartungswerkzeug einsetzen, sollten diese Empfehlung nicht als „reine Härtung“ betrachten, sondern als unmittelbare Risikokontrolle innerhalb des gesamten Betriebsprozesses. Entscheidend ist dabei, dass Angreifer den Dateitransfer offenbar als Hebel nutzen können, um Rogue-Clients und danach die VBScript-Chain zu starten oder zumindest in einen Zustand zu bringen, in dem die 4-stufige Ausführung zuverlässig anspringt. Für die Praxis heißt das: Neben Endpoint-Detections rund um wscript.exe-Spawnings, die temporären Artefakte in %TEMP% sowie das Auftauchen der genannten Skriptnamen sollten Admins kurzfristig vor allem Berechtigungen und Sitzungsgruppen überprüfen – genau dort, wo ConnectWise die Wirkung des Problems verortet. Damit verschiebt sich der Fokus im Incident-Handling spürbar: Weg von ausschließlich „File-Scanning“, hin zu klaren Betriebsgrenzen für Remote-Transfers, während gleichzeitig die Frage der Neuinstallation bzw. Re-Imaging-Strategie für wirklich kompromittierte Hosts schnell beantwortet werden muss.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "ScreenConnect-Wurm per VBScript-Kette: Huntress warnt, ConnectWise stoppt Dateitransfer" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "ScreenConnect-Wurm per VBScript-Kette: Huntress warnt, ConnectWise stoppt Dateitransfer" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »ScreenConnect-Wurm per VBScript-Kette: Huntress warnt, ConnectWise stoppt Dateitransfer« bei Google Deutschland suchen, bei Bing oder Google News!