LONDON (IT BOLTWISE) – Bei laufenden Angriffen auf ScreenConnect wurden nachweislich schädliche „Rogue Clients“ verteilt, die sich wie eine Wurm-Infektion ausbreiten können. Betroffen sind mindestens 288 verwaltete Endpunkte in 48 Organisationen, offenbar über kompromittierte MSP-Zugänge. ConnectWise deaktiviert vorsorglich mehrere Drittanbieter-Erweiterungen in Partnerumgebungen, weil die Initialzugriffe vermutlich über genau diese Mechanik missbraucht wurden. Entscheidend für Verteidiger: Run-Command-Verlauf, verdächtige Toolbox-Aktionen und Session-Cookies müssen aktiv überprüft werden.
Die aktuelle Angriffsserie rund um ScreenConnect zeigt sehr deutlich, wie viel Angriffsfläche in der „Verwaltung durch Fernzugriff“ stecken kann: Nicht eine einzelne Schwachstelle im Kern der Software steht im Mittelpunkt, sondern die Kombination aus missbrauchten Integrationspunkten, weiterreichender Ausführung und dem gezielten Ersetzen legitimer Komponenten. In der jetzt diskutierten Kampagne geht es nach Angaben von ConnectWise um eine Aktivität, bei der mindestens 288 verwaltete Endpunkte in 48 Organisationen erreicht worden sein sollen. Außerdem spricht die begleitende Analyse aus dem Umfeld der Bedrohungsjagd von einer wärmenden Ausbreitungslogik: Erst wird ein Zugriffskanal etabliert, dann verschiebt sich die Ausführung von der ursprünglichen Management-Konsole auf kompromittierte Endpunkte und schließlich weiter auf Verbindungen, die über denselben MSP-Techniker-Workflow erreichbar sind.
ConnectWise hat dazu eine vorsorgliche Maßnahme umgesetzt und in Partnerumgebungen fünf Drittanbieter-Erweiterungen deaktiviert, nachdem Berichte über unautorisierte Zugriffe eingegangen waren. Der Anbieter betont dabei, dass es nach der initialen Bewertung keine Hinweise gebe, dass die eigene Infrastruktur kompromittiert sei oder eine Schwachstelle in ScreenConnect selbst ausgenutzt wurde. Gleichzeitig beschreibt ConnectWise die wahrscheinliche Angriffsidee: Ein Bedrohungskünstler soll unabhängig installierte Drittanbieter-Erweiterungen missbraucht haben, die in Partnerumgebungen aktiv sind. Diese Erweiterungen liefern zwar eine API, die Remote-Kommandos ausführen kann, doch der Zugang zur API sei über eine von den Partnern beim Setup konfigurierte Passphrase abgesichert. Genau deshalb bleibt für Verteidiger wichtig zu verstehen: Das reine Vorhandensein der Erweiterungen beweist noch keinen Kompromiss, aber die konkret beobachteten Einsätze zeigen, dass diese Schnittstellen in der Praxis als Hebel dienen können.
Die vorsorglich deaktivierten Erweiterungen werden namentlich genannt, darunter Varianten wie „Labtech Plus RMM“, „RMM+ RMM+ Password Link“ und „RMM+ Password Link“ sowie weitere ähnlich gelabelte Installationspakete. Für Administratoren ist das weniger eine reine Compliance-Frage als eine technische Entscheidung: Wer solche Erweiterungen betreibt, sollte sie jetzt nicht nur deaktivieren, sondern die Betriebsumgebung im Detail untersuchen. ConnectWise empfiehlt dazu unter anderem, ungewöhnliche Anmeldungen, unbekannte Standorte, wiederholte Login-Fehler und unerwartete MFA-Abfragen zu prüfen. Ebenso sollen neue Administrator-Accounts oder Änderungen an Nutzerrechten dokumentiert werden; zudem rät der Anbieter, verdächtige Installationen von Erweiterungen, Remote-Kommandos und Toolbox-Aktivitäten zu betrachten. Ergänzend stehen konkrete typische Symptome im Fokus: unerlaubte Remote-Access-Software auf Kundenendgeräten oder Techniker-Workstations, auffällige Support-Anfragen, Passwort-Reset-Nachrichten sowie Downloads von Software über vermeintlich „vertrauenswürdige“ Kanäle.
Technisch wird die Kampagne als wormartig beschrieben, weil sie in zwei Schritten eine Persistenz aufbaut, die nicht mehr vom ursprünglichen Management-Panel abhängt. Im ersten Schritt soll das Vorgehen die „Run Command“-Funktion eines kompromittierten ScreenConnect-Panels nutzen, um einen Rogue ScreenClient auf Endpunkte zu verteilen. Dadurch entsteht ein Hintertür-Backdoor, die weiterläuft, auch wenn der Angriffsweg über das Panel später nicht mehr nötig ist. Im zweiten Schritt wird die Ausbreitung über den Technikerpfad erreicht: Sobald ein Techniker eine infizierte Maschine über ScreenConnect verbindet, kann die Malware auch auf die Techniker-Workstation zurückspringen, gespeicherte Browser-Sitzungen sowie Authentifizierungs-Tokens abgreifen und dann wiederum andere ScreenConnect-Panels adressieren, auf die der Techniker ohnehin Zugriff hat. Das beschreibt auch, warum MSP-Umgebungen besonders betroffen sein können: Viele Zugriffe werden über rollenbasierte Rechte und wiederverwendete Techniker-Identitäten gebündelt, wodurch aus einem kompromittierten Einstieg ein breiterer lateral movement-Vektor wird.
Die in der Analyse hervorgehobene Payload heißt „SCKit“ und wird als verschlüsseltes Paket ausgeliefert. Sie verwendet demnach einen zweistufigen Dropper-Mechanismus: Ein Base64-kodierter Dropper startet zunächst ein Skript („sckit-run.bat“), das wiederum über einen Remote-Download eine PowerShell-Komponente („sckit-decoder.ps1“) nachlädt. Diese Komponente soll das Toolkit anschließend starten und mehrere Folgeschritte anstoßen: unter anderem das Anpassen von Microsoft-Defender-Exclusion-Einstellungen, das Installieren eines zweiten, wiederum attacker-gesteuerten ScreenConnect-Clients, das Anlegen einer geplanten Aufgabe namens „TrapWatch“ sowie das Ersetzen einer legitimen ScreenConnect-Installation durch eine manipulierte Version. Interessant ist außerdem der Hinweis aus der Untersuchung, dass mindestens eines der Skripte möglicherweise von einem KI-basierten LLM mit generierten Code-Abschnitten und kommentierenden Erklärstrukturen erstellt wurde. Das ist nicht nur ein Stilphänomen: In der Praxis kann das die Wiedererkennbarkeit beeinflussen, weil Namen, Kommentarblöcke und Codepfade zwar konsistent wirken, aber über mehrere Kampagnenvarianten hinweg angepasst werden können.
Darüber hinaus wird eine zusätzliche Funktion beschrieben, die über den beobachteten Standardpfad hinausgeht: Es soll ein Abgriff auf der Techniker-Workstation auslösen, der dann gezielt den Weg zurück zum Panel öffnet, inklusive eines Workstation-Unique-IDs-Schritts. Dafür wird ein weiterer Dropper („Run-Lateral-Full.bat“) genutzt, der über eine externe Adresse einen Loader lädt, der die Maschinenkennung einsammelt, an den Angreifer zurücksendet und anschließend ein für diese Workstation zugeschnittenes verschlüsseltes Kit zurückbekommt. In der Analyse wird genannt, dass darauf aufbauend „Panel-Lateral.ps1“ und „LabConfig.ps1“ genutzt werden, um ein „.aspxauth“-Session-Cookie von der Workstation zu stehlen und als Replay gegen das Panel zu versuchen, um Token zu erhalten, mit denen sich andere Sitzungen enumerieren lassen. Ergänzend fällt eine Toolbox-Mechanik auf: Ein Werkzeug namens „ToolboxRelayUploader.exe“ nutzt die gewonnenen Session-Zugriffe, um eine Payload in der Shared Toolbox des Panels hochzuladen; eine Panel-Anfrage triggert dann das Ausführen des Toolbox-Items auf allen erreichbaren Sessions, wobei das Programm danach nach kurzer Zeit („roughly 60 seconds“) wieder aufräumt.
Für die praktische Verteidigung ergeben sich daraus zwei Schwerpunkte: Erstens müssen Run-Command-Verläufe auch dann überprüft werden, wenn keine Alarmmeldungen eingingen, weil der Ablauf offenbar genau diese Lücke ausnutzen kann. Zweitens sollten Teams, die ScreenConnect im MSP-Kontext betreiben, nicht nur Endpunkte, sondern auch die Pflege- und Verteillogik der Panels betrachten: verdächtige Skriptketten, unerwartete Remote-Kommandos, ungewöhnliche Toolbox-Aktivitäten und Anzeichen dafür, dass legitime Installationsbestände ersetzt oder dupliziert wurden. Ergänzend nennen die Analysten konkrete Indikatoren wie IP-Adressen (u. a. 185.99.255[.]28 und 155.94.150[.]39), Domains/URLs (unter anderem ns[.]mo7sen[.]dev sowie sc[.]payproofkit[.]com) und Artefakte wie „sckit-run.bat“, „sckit-decoder.ps1“, „TrapWatch.ps1“ und „Panel-Lateral.ps1“. Parallel wird berichtet, dass auch ein anderes Sicherheitsunternehmen ähnliche unautorisierte ScreenConnect-Client-Deployments anhand eines vergleichbaren Modus operandi beobachtet haben soll; zudem sollen die Ursprungsaktivitäten an mehreren ScreenConnect-Instance-IDs stattgefunden haben, wobei mindestens ein Teil davon als kompromittiert vermutet wird. Die entscheidende Nachricht lautet damit: Wer ScreenConnect als Verwaltungswerkzeug nutzt, muss die Kette aus Erweiterungen, Panel-Befehlen und Techniker-Sessions als zusammenhängendes Sicherheitsproblem behandeln.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "ScreenConnect-Angriff: Rogue Clients, 288 Endpunkte und 48 Organisationen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "ScreenConnect-Angriff: Rogue Clients, 288 Endpunkte und 48 Organisationen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »ScreenConnect-Angriff: Rogue Clients, 288 Endpunkte und 48 Organisationen« bei Google Deutschland suchen, bei Bing oder Google News!