ConnectWise разследва активна кампания, при която нападатели злоупотребяват със среди на ScreenConnect, за да инсталират неоторизирани инструменти за отдалечен достъп върху устройствата на клиенти на доставчици на управлявани услуги (MSP). Като предпазна мярка компанията е деактивирала пет разширения на трети страни в около 400 партньорски среди.

Кампанията е открита от компанията за киберсигурност Huntress, която първоначално е установила шест компрометирани MSP организации и над 286 засегнати крайни устройства в 47 организации. Броят на жертвите продължава да нараства.

ScreenConnect е платформа за отдалечен достъп и техническа поддръжка, използвана от MSP доставчици и ИТ екипи за управление и диагностика на клиентски устройства.

Според Huntress нападателите използват функцията Run Command на ScreenConnect, за да инсталират неоторизирани клиенти на платформата върху управлявани устройства. Така те получават отдалечен достъп, който не преминава през легитимната среда на доставчика.

Изследователите предупреждават и за потенциално по-сериозен сценарий: компрометиране на работната станция на техник, когато той стартира интерактивна ScreenConnect сесия към вече заразено клиентско устройство.

Спайк Бранд, ръководител на екипа за разузнаване на заплахи и реагиране при инциденти в Huntress, заявява че засега активността изглежда свързана със злоупотреба с легитимни функции, подпомогната от специално разработени инструменти. В някои случаи те се компилират директно на компютъра на жертвата.

По думите му няма установена информация как първоначално е бил компрометиран първият засегнат компютър. Huntress също не е определила окончателно механизма за проникване в средите на MSP доставчиците. Наличните телеметрични данни насочват към компрометирани идентификационни данни или отвлечени операторски сесии.

ConnectWise деактивира пет разширения

В публикувано в сряда вечерта предупреждение ConnectWise потвърждава неоторизиран достъп до партньорски акаунти в ScreenConnect и инсталиране на неразрешен софтуер за отдалечен достъп в клиентски среди.

В хода на разследването компанията е идентифицирала пет независими разширения на трети страни, които може да са свързани с атаките. Те са деактивирани в приблизително 400 партньорски среди като предпазна мярка.

Засегнатите разширения са:

• Labtech Plus
• RMM Plus
• RMM+
• RMM Plus Password Link
• RMM+ Password Link

Според първоначалната оценка на ConnectWise нападателите вероятно са използвали тези разширения, за да внедрят допълнителен софтуер за отдалечен достъп. Компанията подчертава, че наличието на някое от тях не означава автоматично, че съответната мрежа е компрометирана.

Деактивирането е превантивна мярка за ограничаване на риска, но не премахва вече инсталиран зловреден софтуер, механизми за постоянен достъп или други следи от компрометиране.

За локално инсталираните версии на ScreenConnect партньорите трябва сами да деактивират разширенията, тъй като ConnectWise не може да извърши това дистанционно. Компанията препоръчва те да не бъдат активирани или инсталирани повторно до публикуването на допълнителни указания.

Партньорите трябва да проверят:

• регистрационните файлове за удостоверяване;
• историята на инсталиране на разширения;
• административната активност;
• историята на командите в Run Command;
• записите в Toolbox.

ConnectWise препоръчва на техниците да не стартират интерактивни ScreenConnect сесии към потенциално компрометирани устройства. Вместо това те трябва да използват отделни инструменти за сигурност при проверката и анализа.

Компанията съобщава и за сигнали за компрометирани работни станции на техници по време на интерактивни сесии, но тези случаи все още се потвърждават. Според ConnectWise засега няма основание да се смята, че партньори, които не са използвали петте идентифицирани разширения, са засегнати от конкретния инцидент. Всички обаче трябва да останат в повишена готовност.

Индикатори за компрометиране

Huntress предупреждава, че последователните идентификатори, използвани от нападателите, може да сочат към по-ранни компрометирания на допълнителни MSP среди. Затова компанията препоръчва на всички потребители на ScreenConnect да проверят историята на Run Command, дори ако не са получили предупреждение.

Сред публикуваните индикатори за компрометиране (IOC) са:

• Атакуващ relay сървър: 185.99.255[.]28 (hostname: screen)
• C2 домейни: newnewnew.gotdns[.]org, soxnewwork.homedns[.]org
• Възможен допълнителен C2: cdn007-digitaldownloads[.]com
• Вторичен C2: sc.payproofkit[.]com (155.94.150[.]39, hostname: WIN-FB5CKHMU4E1)
• Stager: hxxps://ns.mo7sen[.]dev/EadF.php?p=4
• Неоторизирани ScreenConnect client ID: 2588ef5c15954b10, ed630cc2c873b091
• Шаблон за инсталатор: /Bin/ScreenConnect.ClientSetup.msi?...&c=Exploited<N>
• Име на нападателя: Addmin
• Файлове: Panel-Lateral.ps1, runnew.cmd, ToolboxRelayUploader.exe, Run-Lateral-Full.bat

Huntress съобщава, че е уведомила ConnectWise, доставчика на виртуални частни сървъри, на който е разположена атакуващата инфраструктура, както и доставчиците на облачни услуги и динамични DNS услуги, използвани в кампанията.

Следи от по-ранна злонамерена активност

Файлът SSA-2026-STATEMENT-15518787.bat се представя за документ от американската Администрация за социално осигуряване (Social Security Administration) и е качен във VirusTotal на 25 юли 2026 г.

Скриптът се опитва да добави изключения в Microsoft Defender и да осигури постоянство чрез папката за автоматично стартиране на Windows и ключа Run в системния регистър. След това се свързва с домейна amexsafekeyupdate.com, за да изтегли команди за инсталиране на два различни пакета.

Анализът във VirusTotal показва изтегляне на ScreenConnect MSI инсталатори от cdn007-digitaldownloads[.]com и cyberrexdesign.screenconnect[.]com. Първият домейн е посочен от Huntress и като възможна C2 инфраструктура.

След стартирането на втория инсталатор скриптът използва PowerShell, за да търси в работещите процеси и услугите на Windows идентификатора ed630cc2c873b091. Ако го открие, приема, че инсталацията е успешна, и изпраща уведомление на нападателите чрез Telegram.

Името на файла и съдържанието му предполагат, че скриптът може да е бил част от отделна кампания за разпространение чрез фишинг. Връзката между тази активност от юли и настоящите атаки обаче все още не е изяснена.

Huntress отказва да коментира конкретния по-ранен случай, но съобщава за значително увеличение през 2026 г. на атаките, при които легитимен софтуер за дистанционно наблюдение и управление (RMM) се използва като първоначален инструмент за проникване.

Случаят показва как компрометирането на една MSP среда може да отвори път към множество клиентски организации. Особено важни са проверката на администраторските сесии, контролът върху разширенията и внимателното използване на инструментите за отдалечено управление.