ConnectWise ScreenConnect’te Üçüncü Taraf Araç İhlalleri Araştırılıyor

ConnectWise ScreenConnect’te Üçüncü Taraf Araç İhlalleri Araştırılıyor

BT yönetim yazılımı şirketi ConnectWise, müşterilerine yönelik yetkisiz erişim iddialarını araştırıyor. Bu durum, yaklaşık 50 kuruluşta şirketinin ScreenConnect aracı aracılığıyla ihlaller yaşandığına dair çok sayıda siber güvenlik firmasından gelen raporların ardından ortaya çıktı.

Çarşamba akşamı geç saatlerde ConnectWise, bu faaliyetin müşteri ortamlarına yüklenmiş bağımsız bir üçüncü taraf uzantısının kötüye kullanılmasıyla ilgili olduğuna inandığını belirtti. RMM+ adlı bu araç, ConnectWise ScreenConnect için harici yönetim araçlarının bir API aracılığıyla uzaktan oturumları otomatikleştirmesine ve kontrol etmesine olanak tanıyan bir uzantıdır.

Şirket, “RMM+ ailesinden en az bir bağımsız olarak geliştirilmiş üçüncü taraf uzantısının yüklü olduğu yaklaşık 400 iş ortağı ortamı tespit ettik. Bunların varlığı tek başına bir ihlal olduğunu göstermez” açıklamasını yaptı.

Ayrıca, “Bu uzantılar, uzaktan komutları yürütebilen bir API sağlar. Bu API’ye erişim, iş ortağı tarafından kurulum sırasında yapılandırılan bir parola ile korunmaktadır” diye ekledi.

Tampa merkezli şirket, müşterilerine tehdit aktörlerinin ek uzaktan erişim yazılımları dağıttığını ve etkilenen cihazlara etkileşimli bağlantılar sırasında “teknisyen iş istasyonlarının potansiyel olarak tehlikeye girdiğini” gördüğünü bildirdi.

Alınan Önlemler

ConnectWise, 400 müşteri ortamında RMM+’ı devre dışı bıraktı. Şirket içi sistemleri olan müşterilere, ConnectWise’ın bunu onlar için yapamayacağı için kendilerinin devre dışı bırakmalarını şiddetle tavsiye etti. Tüm müşterilerin RMM+’ın devre dışı bırakıldığını doğrulaması gerekmektedir.

ConnectWise ayrıca, müşterilerin şüpheli tehlikeye girmiş cihazlara yapılan herhangi bir ScreenConnect bağlantısına karşı dikkatli olmaları gerektiğini ekledi.

Şirket, “Uzantıları devre dışı bırakmak ve kimlik bilgilerini sıfırlamak tek başına yetkisiz yazılımları, kalıcılık mekanizmalarını veya uç noktalarda zaten kurulmuş erişimi kaldırmayabilir” uyarısında bulundu. Olağandışı oturum açma girişimleri ve tekrarlanan oturum açma hatalarına dikkat çekti.

ConnectWise başlangıçta kötü niyetli faaliyetlerle ilişkili olabilecek beş farklı üçüncü taraf uzantısı tespit ettiğini belirtmiş, ancak daha sonra bunu RMM+’a kadar izlemiştir.

Kimlik Bilgileri Tehlikeye mi Girdi?

ConnectWise’ı harekete geçiren uyarılar, siber güvenlik firması Huntress’in 90 dakika içinde 48 kuruluşta 288 etkilenen uç noktanın hedef alındığını bildirmesinin ardından geldi. Huntress olay müdahale ekipleri, çeşitli ScreenConnect sistemlerinde RMM+ ile ilişkili komutlar buldu. ConnectWise’ın RMM+ ile birlikte diğer dört üçüncü taraf uzantısını devre dışı bıraktığını doğruladılar.

Bir Huntress sözcüsü, “Huntress yeni bir güvenlik açığına dair kanıt görmedi, ancak saldırganın panele nasıl eriştiği hala belirsiz. Mevcut telemetri, ilk erişimi sağlamak için tehlikeye atılmış kimlik bilgilerine veya ele geçirilmiş operatör oturumlarına işaret ediyor, ancak Huntress araştırmacıları daha fazla bilgi edindiklerinde güncelleyecekler” dedi.

Birçok saldırıda, tehdit aktörleri tehlikeye atılmış sistemleri kalıcı arka kapılar oluşturmak için kullandı. Bir teknisyen bu tehlikeye atılmış uç noktaya bağlandığında, enfekte olmuş uç noktaları ağ boyunca kötü amaçlı yazılım yaymak için kullandı.

ScreenConnect, şirket BT altyapısını ve son kullanıcı sistemlerini yöneten yönetilen hizmet sağlayıcıları tarafından yaygın olarak kullanılmaktadır.

CVE-2026-84869 Bağlantısı

Huntress ve diğer bazı araştırmacılar, saldırı kampanyasının Eylül 2026’da keşfedilen bir ConnectWise güvenlik açığı olan CVE-2026-84869 ile bağlantılı olabileceğini belirtti. Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Eylül ayında bu açığın istismar edildiği konusunda uyarıda bulunmuştu.

Blackpoint Cyber araştırmacıları Sam Decker ve Nevan Beal, Recorded Future News’e yaptıkları açıklamada, son ScreenConnect saldırılarında saldırganların kullandığı araç setini tersine mühendislikle inceleyebildiklerini ve bunun CVE-2026-84869’un istismarını içerdiğini söylediler.

Her iki araştırmacı da, araç setini tamamen yamalanmış bir ScreenConnect istemcisine karşı test ettiklerini ve yamanın çalıştığını doğruladıklarını, yani istismar edilenlerin muhtemelen yamalanmamış olduğunu belirttiler.

Decker ve Beal, “Testlerimiz, istismarın CVE-2026-84869’u hedef aldığını ve mevcut yamanın bunu başarıyla engellediğini doğruladı” diye ekledi.

“Ancak araç seti, kimliği doğrulanmış operatör oturumlarını ele geçirme ve kötü amaçlı kod göndermek için meşru ScreenConnect yönetim özelliklerini kullanma yeteneklerini de içeriyor. Yama, bilinen istismarı ele alıyor, ancak tehlikeye atılmış bir operatör oturumuyla ilişkili riskleri ortadan kaldırmıyor. Kuruluşların bu oturumları koruması ve yüksek etkili idari eylemler etrafında ek güvenlik önlemleri alması gerekiyor.”

Önceki Saldırılar

ConnectWise, son yıllarda hem ulus devletler hem de siber suçlular tarafından tekrar tekrar saldırılara maruz kaldı. Geçen ay Microsoft, Çin hükümetiyle bağlantılı bir hacker grubunun ConnectWise’a karşı tedarik zinciri saldırısı gerçekleştirmek için otomatik araçlar kullandığı konusunda uyarıda bulunmuştu.

Çin hükümet grupları, 2024’ten bu yana ABD işletmeleri ve devlet kurumları arasında yaygın kullanımı nedeniyle ScreenConnect’i tekrar tekrar hedef aldı.