ScreenConnect Saldırıları: 48 Kuruluşta En Az 288 Uç Nokta Hedef Alındı

ScreenConnect Saldırıları: 48 Kuruluşta En Az 288 Uç Nokta Hedef Alındı

ConnectWise, yetkisiz erişim raporlarının ardından iş ortağı ortamlarındaki beş üçüncü taraf uzantısını önlem olarak devre dışı bıraktı. Şirket, yaptığı açıklamada, olayın kendi altyapılarının tehlikeye atıldığını veya ScreenConnect yazılımında bir güvenlik açığı bulunduğunu gösteren herhangi bir kanıt olmadığını belirtti.

ConnectWise, “İlk değerlendirmemiz, etkinliğin bir tehdit aktörünün iş ortağı ortamlarında kurulu bağımsız üçüncü taraf uzantılarını kötüye kullanmasını içerebileceğini düşündürmektedir” açıklamasını yaptı. “Bu değerlendirmeyi doğrulamaya devam ediyoruz. İlk erişim yöntemi ve tam kapsamı hala araştırılmaktadır.”

ConnectWise, en az bir üçüncü taraf uzantısının kurulu olduğu yaklaşık 400 iş ortağı ortamını tespit etti. Şirket, yalnızca bu uzantıların varlığının bir ihlali göstermediğini veya kanıtlamadığını da vurguladı. Bu uzantılar, uzaktan komutları yürütebilen bir API sağlasa da, bu API’ye erişim, iş ortağı tarafından kurulum sırasında yapılandırılan bir parola ile güvence altına alınmıştır. Önlem olarak devre dışı bırakılan uzantıların listesi şunlardır:

• Labtech Plus
• RMM Plus
• RMM+
• RMM Plus Password Link
• RMM+ Password Link

ConnectWise ayrıca, şirket içi iş ortaklarını bu uzantıları devre dışı bırakmaya çağırdı ve tüm iş ortaklarına güvenlik kontrollerinin çalıştığından emin olmalarını, şüpheli etkinlik günlüklerini korumalarını ve aşağıdaki durumlara karşı dikkatli olmalarını önerdi:

• Olağandışı oturum açma işlemleri, tanıdık olmayan konumlar, tekrarlanan oturum açma hataları ve beklenmedik çok faktörlü kimlik doğrulama (MFA) istemleri
• Yeni yönetici hesapları veya kullanıcı izinlerindeki değişiklikler
• Beklenmedik uzantı kurulumları, uzaktan komutlar ve Araç Kutusu etkinliği
• Müşteri cihazlarında ve teknisyen iş istasyonlarında onaylanmamış uzaktan erişim yazılımları
• Güvenilir bir kanal aracılığıyla beklenmedik destek talepleri, parola sıfırlama mesajları ve yazılım indirmeleri

Şirket, aşağıdaki ihlal göstergelerini (IoC’ler) paylaştı:

• IP adresleri:
  • 185.99.255[.]28
  • 155.94.150[.]39
• Alan adları ve URL’ler:
  • ns[.]mo7sen[.]dev
  • ns[.]mo7sen[.]dev/EadF.php?p=4
  • sc[.]payproofkit[.]com
  • cdn007-digitaldownloads[.]com
  • newnewnew[.]gotdns[.]org
  • Soxnewwork[.]homedns[.]org
• Yapıtlar:
  • sckit-run.bat
  • sckit-decoder.ps1
  • TrapWatch.ps1
  • Panel-Lateral.ps1
  • Run-Lateral-Full.bat
  • runnew.cmd
  • ToolboxRelayUploader.exe
  • Sqlite3.exe

Siber güvenlik şirketi Huntress, bu etkinliği takip ettiğini ve saldırganların bulut tabanlı ScreenConnect panellerine erişimi kullanarak 48 kuruluşta en az 288 yönetilen uç noktaya sahte ScreenConnect istemcileri yüklemek amacıyla Çalıştır komutları gönderdiğini gözlemlediğini bildirdi. Bu etkinlik ilk olarak 11 Kasım 2026 tarihinde, UTC ile yaklaşık 17:47’de tespit edildi.

Huntress, The Hacker News’e yeni bir güvenlik açığına dair kanıt görmediğini, ancak saldırganın panel erişimini nasıl elde ettiğinin hala belirsiz olduğunu belirtti. Mevcut telemetri, ilk erişimi sağlamak için ele geçirilmiş kimlik bilgilerine veya ele geçirilmiş operatör oturumlarına işaret ediyor.

Genel saldırı, iki aşamalı solucan benzeri bir şekilde ilerliyor:

• İlk erişim: Saldırganlar, ele geçirilmiş bir ScreenConnect panelinin Çalıştır Komutu özelliğini kullanarak uç noktalara sahte bir ScreenClient istemcisi dağıtır ve orijinal panele bağlı olmayan kalıcı bir arka kapı oluşturur.
• Yanal hareket: Bir teknisyen ScreenConnect aracılığıyla enfekte bir uç noktaya bağlandığında, kötü amaçlı yazılım teknisyenin iş istasyonuna geri yayılabilir, kaydedilmiş tarayıcı oturumlarını ve kimlik doğrulama belirteçlerini çalabilir ve teknisyenin erişebildiği diğer ScreenConnect panellerine geçiş yapabilir.

Huntress araştırmacıları Ben Nahorney ve Susannah Matt, “Sahte istemciler, kalıcı uzaktan erişim sağlayan ve oturum çerezlerini ele geçirmek için bir röle tuzağı oluşturan özel bir kötü amaçlı araç takımı olan SCKit’i dağıtıyor” dedi.

“Enfeksiyon yolu iki aşamada çalışır: enfekte bir uç noktadan ona bağlanan bir teknisyene ve bir teknisyenin iş istasyonundan panelinin bağlanabileceği her uç noktaya. Ancak, gözlemlenen olaylar sırasında tüm işlevsellik gözlemlenmemiştir; bazı işlevsellik, yüklerin analiz edilmesiyle keşfedilmiştir.”

SCKit, şifreli bir yük olarak ve Base64 kodlu bir bırakıcı (“sckit-run.bat”) aracılığıyla dağıtılır, bu da daha sonra araç takımını başlatmaktan sorumlu bir PowerShell yükünü (“sckit-decoder.ps1”) almak için uzak bir sunucuyla iletişim kurar.

Kötü amaçlı yazılımın diğer bileşenleri, Microsoft Defender dışlamaları eklemek, ikinci bir saldırgan kontrollü ScreenConnect istemcisi kurmak, “TrapWatch” adlı zamanlanmış bir görev oluşturmak ve meşru ScreenConnect kurulumunu saldırgan kontrollü bir kopyayla değiştirmek için tasarlanmıştır.

Betiklerden en az birinin, işlevselliğini açıklayan ayrıntılı kaynak kodu referansları ve yorumlarına dayanarak büyük bir dil modeli (LLM) tarafından oluşturulduğuna dair işaretler bulunmaktadır.

Huntress, “Gözlemlediklerimizin ötesine geçerek, bir teknisyenin iş istasyonundan ScreenConnect paneline yayılması amaçlanan ek bir işlevselliği yeniden yapılandırdık” dedi. “Bu, betiklerinin, yapılandırmasının ve araçlarının analizinden keşfedilmiştir. Bugüne kadar enfekte bir uç noktadan bir teknisyen iş istasyonuna veya bu iş istasyonundan diğer uç noktalara başarılı bir geçiş gözlemlemedik.”

Bu, bir bırakıcıyı (“Run-Lateral-Full.bat”) almak için bağlantının kötüye kullanılmasıyla ilgilidir, bu da daha sonra iş istasyonunun benzersiz kimliğini toplayan, saldırgana geri gönderen ve o belirli iş istasyonu için özel olarak şifrelenmiş bir kit döndüren bir yükleyiciyi indirmek için harici bir sunucuya (“ns.mo7sen[.]dev”) bağlanır:

• “Panel-Lateral.ps1”, “LabConfig.ps1” ile birlikte, iş istasyonundan .aspxauth oturum çerezini çalar ve çerezi panele karşı yeniden oynatmaya çalışır ve teknisyenin erişebileceği diğer oturumları numaralandırmak için gerekli belirteçleri alır.
• “ToolboxRelayUploader.exe”, diğer oturumlara kazanılan erişimi kullanarak, “WithUninstall.ps1” adlı bir yükü panelin Paylaşılan Araç Kutusu’na yükler.

Huntress, “Bir panel isteği, ulaşılabilir her oturuma araç kutusu öğesini çalıştırmasını söyler” dedi. “Bu yük, bu uç noktalarda SYSTEM olarak çalışacak, tuzağı kuracak ve döngüyü genişletecek şekilde tasarlanmıştır. Yayınlandıktan yaklaşık 60 saniye sonra, ToolboxRelayUploader.exe Paylaşılan Araç Kutusu öğesini siler.”

Endişe verici bir şekilde, tehdit aktörünün her ele geçirilmiş yönetilen hizmet sağlayıcısını (MSP) ardışık bir numara ile etiketlediği gözlemlendi. Huntress, gözlemlediği etiketlerin dizinin ortasından başladığını ve diğer MSP’lerin daha önce ele geçirilmiş olabileceğini gösterdiğini belirtti. ScreenConnect kullanıcılarına, uyarı almamış olsalar bile Çalıştır Komutu geçmişlerini kontrol etmeleri tavsiye edilir.

Ayrı bir uyarıda, Sophos da aynı yöntemle yetkisiz ScreenConnect istemci dağıtımları gözlemlediğini bildirdi. Etkinlik, üç ScreenConnect örnek kimliğinden kaynaklandı:

• d905b2b1b165d0a9
• 4b8f4089ddaac6a9
• df1f7ef0cfacd0d8

Bunların, komutları yürütmek ve ek kötü amaçlı örnekleri dağıtmak için kullanılan ele geçirilmiş örnekler olduğundan şüpheleniliyor, bu örneklerin kimlikleri şunlardır:

• 2588ef5c15954b10
• ed630cc2c873b091

Sophos, “Curl.exe, ScreenConnect.ClientSetup.msi’yi 185.99.255[.]28 adresinden C:\Windows\TEMP\sc.msi’ye indirdi” açıklamasını yaptı. “ScreenConnect tarafından oluşturulan bir komut dosyası daha sonra istemciyi sessizce kurmak için msiexec.exe’yi başlattı. Araştırmacılar ayrıca, toplu dosyaları hazırlayan ve ikinci aşama bir betiği ns[.]mo7sen[.]dev/EadF.php?p=4 adresinden almak için yürütme politikası atlamasıyla PowerShell kullanan ScreenConnect betiklerini de gözlemledi.”