SCKit Zararlı Yazılımı, ConnectWise ScreenConnect Destek Oturumlarını MSP Saldırı Yollarına Dönüştürüyor

SCKit Zararlı Yazılımı, ConnectWise ScreenConnect Destek Oturumlarını MSP Saldırı Yollarına Dönüştürüyor

ConnectWise ScreenConnect dağıtımlarını hedef alan devam eden saldırı kampanyasının, uzaktan erişim yazılımındaki yeni bir güvenlik açığını değil, daha önce yamalanmış kritik bir güvenlik açığını (CVE-2026-84869) kullandığı ortaya çıktı.

Blackpoint Cyber’ın Adversary Pursuit Group (APG) ekibi, elde edilen saldırgan araç setinin, yetkisiz dosya transferi ve aktif bir uzaktan oturum aracılığıyla yetkilendirme veya ana bilgisayar onayı olmadan kod çalıştırmaya olanak tanıyan, CVSS puanı 9.9 olan bir ayrıcalık yönetimi ve eksik yetkilendirme güvenlik açığı olan CVE-2026-84869’u istismar ettiğini belirtti. Siber güvenlik şirketi, tamamen yamalanmış bir ScreenConnect istemcisi üzerinde yapılan testlerin, istismarın yükünün başarıyla engellendiğini doğruladı.

APG araştırmacıları Sam Decker ve Nevan Beal, “Testlerimiz, istismarın CVE-2026-84869’u hedef aldığını ve mevcut yamanın bunu başarıyla engellediğini doğruladı. Bu, güvenlik ekipleri için önemli bir bulgu” dedi. Ancak, araç setinin aynı zamanda kimliği doğrulanmış operatör oturumlarını ele geçirme ve kötü amaçlı kodları dağıtmak için meşru ScreenConnect yönetim özelliklerini kullanma yetenekleri de içerdiğini eklediler. Yama, bilinen istismarı giderse de, tehlikeye atılmış bir operatör oturumuyla ilişkili riskleri ortadan kaldırmıyor.

Özellikle, SCKit zararlı yazılımı, yönetilen bir uç noktadaki şüpheli etkinliği araştırmak isteyen teknisyenlerin iş istasyonlarını enfekte etmek için RelayTrap adlı bir işlevsellik içeriyor. Başka bir deyişle, bu etkinlik güvenilir işlevselliği kötüye kullanıyor ve bir saldırgan geçerli bir oturum elde ettikten sonra yazılım güvenlik açığına dayanmıyor.

Saldırı Dizisi ve SCKit Bileşenleri

Saldırı dizisi, komutları yürütmek için platformun yerleşik ‘Komut Çalıştır’ işlevini kullanır. Bu, önce mevcut bir ScreenConnect kurulumunu kontrol etmeyi, ardından saldırgan tarafından kontrol edilen bir MSI yükleyicisini (“sc.msi”) indirip çalıştırmayı ve son olarak toplu iş komut dosyası bırakıcısını (“sckit-run.bat”) dağıtmayı içerir.

Toplu iş komut dosyası bırakıcısı daha sonra “ns.mo7sen[.]dev” ile iletişime geçerek bir PowerShell çözücüsü (“sckit-decoder.ps1”) alır ve nihayetinde SCKit araç setinin çeşitli bileşenlerini dağıtır. Bu bileşenler arasında, iki yetkisiz ScreenConnect Erişim istemcisi dağıtarak kalıcı uzaktan erişim sağlamak için kullanılan bir PowerShell betiği (“SilentForceInstall-WithUninstall.ps1”) ile birlikte, mevcut ScreenConnect Misafir oturumlarına müdahale etmek için tasarlanmış bir dizi betik ve C# kodu (RelayTrap dahil) bulunur.

RelayTrap bileşeni, meşru ScreenConnect Misafirini değiştirerek ve SCKit yükünü bağlanan teknisyene geri göndererek CVE-2026-84869 ile ilişkili bir misafirden ana bilgisayara dosya yürütme tekniğini dener. Bu eylem başarılı olursa, zararlı yazılım teknisyenin kimliği doğrulanmış ScreenConnect tarayıcı oturumlarını kurtarmaya çalışır ve mevcut yönetim izinlerini kullanarak erişebildikleri ek uç noktalara komutları dağıtır. Sonuç olarak, bir saldırgan orijinal tehlikeye atılmış sistemin ötesine geçerek, onları yönetmek için kullanılan aynı altyapı aracılığıyla diğer müşteri ortamlarına sızabilir.

Blackpoint Cyber, “Bu komutlar mevcut ScreenConnect ajanları aracılığıyla yürütüldüğü için, saldırganlar her makinede ayrı bir yürütme yöntemi oluşturmaya gerek kalmadan NT AUTHORITY\SYSTEM bağlamında ek yazılımlar dağıtabilirler” dedi. “Yetkisiz Erişim istemcileri, saldırganlara uç nokta üzerinde kalıcı kontrol sağlarken, RelayTrap bileşenleri zararlı yazılımı meşru destek bağlantılarını engellemek için konumlandırır. Araç seti, yöneticilerin enfekte bir makineye erişmesini engellemek yerine, bir sonraki bağlantılarını doğrudan teknisyenin iş istasyonuna sızma fırsatı olarak kullanmaya çalışır.”

Teknisyen İş İstasyonlarını Hedefleme

Saldırının nihai hedefi, genellikle farklı müşterilere ait yönetilen uç noktalara bağlanan ve yönetim araçlarına ve kimliği doğrulanmış yönetim oturumlarına erişimi olan iş istasyonlarından çalışan teknisyenleri hedeflemektir. Bu, saldırganların orijinal uç noktadan çıkarak potansiyel olarak daha geniş erişim ve ayrıcalıklara sahip bir ortama sızmalarını sağlar.

Zararlı yazılım teknisyenin makinesinde yürütüldüğünde, uzaktan destek manipülasyonundan oturum hırsızlığına geçer. Makinenin yerel tarayıcı verilerini ve işlem belleğini arayarak, kimlik bilgilerini elde etmeye gerek kalmadan zararlı yazılımı diğer uç noktalara yaymak için kullanılabilecek mevcut kimliği doğrulanmış bir yönetim oturumunu (yani .ASPXAUTH çerezlerini) kurtarmaya çalışır.

Araştırmacılar, “Önce bir teknisyenin iş istasyonunu tehlikeye atmaya, ardından kimliği doğrulanmış ScreenConnect oturumunu kurtarmaya çalışarak, SCKit tek bir yönetilen uç noktaya erişimi, o teknisyenin kontrolü altındaki diğer sistemlere ulaşma fırsatına dönüştürmeyi amaçlıyor” dedi.

CVE-2026-84869’un daha önce, tehdit aktörlerinin ScreenConnect’i yeni bağlanan sistemlere kötü amaçlı dört aşamalı bir Visual Basic Script (VBScript) yükü dağıtmak ve nihayetinde bir XMRig kripto para madencisi sunmak için kullandığı bir dizi saldırıda istismar edildiğini belirtmek gerekir. Bu güvenlik açığı, 11 Eylül 2026’da ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) tarafından Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna eklendi ve federal kurumların düzeltmeleri 14 Eylül 2026’ya kadar uygulamalarını gerektirdi.

Son olaya yanıt olarak, ConnectWise, iş ortağı ortamlarındaki beş üçüncü taraf uzantısını önlem olarak devre dışı bıraktı. Ancak, Blackpoint Cyber, bu uzantılar ile SCKit arasında teknik bir bağlantı bulamadığını belirtti.

Yazının yazıldığı an itibarıyla, etkinliğin bir teknisyen iş istasyonuna başarılı bir şekilde yayıldığına veya CVE-2026-84869 için satıcı yamasını atladığına dair hiçbir kanıt bulunmamaktadır.

Bulgular, ScreenConnect istemcilerini yamalamanın önemini pekiştiriyor ve daha sıkı oturum doğrulaması ve toplu yönetim eylemleri için ek kimlik doğrulama dahil olmak üzere daha güçlü operatör oturumu korumalarına duyulan ihtiyacın altını çiziyor.

Araştırmacılar, “Kuruluşların bu oturumları koruması ve yüksek etkili yönetim eylemleri etrafında ek güvenlik önlemleri alması gerekiyor” dedi. “MSP’ler için pratik ders, yalnızca uç noktayı değil, yönetim ilişkisini de araştırmaktır. Özellikle destek personelinin şüpheli bir sisteme zaten bağlandığı durumlarda, yetkisiz Erişim kurulumları, yönetim komut geçmişi, teknisyen iş istasyonları ve tarayıcı oturumları dikkat çekmeyi hak ediyor.”