ConnectWise ha disattivato in via precauzionale cinque estensioni di terze parti dopo le segnalazioni di accessi non autorizzati agli ambienti dei partner, secondo quanto riportato da The Hacker News il 12 novembre 2026. Huntress ha osservato attaccanti che inviavano comandi tramite pannelli di gestione ScreenConnect ospitati nel cloud per installare client di accesso remoto non autorizzati, prendendo di mira almeno 288 endpoint gestiti in 48 organizzazioni.
La risposta riguarda i partner che usano Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link o RMM+ Password Link. ConnectWise ha trovato almeno una di queste estensioni in circa 400 ambienti di partner, un conteggio di installazioni che non stabilisce quanti ambienti siano stati compromessi. I partner con installazioni on-premise di ScreenConnect sono stati esortati a disattivare le estensioni da sé.
Nel proprio avviso, riportato da The Hacker News, ConnectWise ha affermato che la valutazione preliminare indicava un possibile abuso di estensioni indipendenti di terze parti. Stava ancora indagando sia sul metodo di accesso sia sulla portata, senza prove che la propria infrastruttura fosse stata compromessa o che fosse coinvolta una vulnerabilità di ScreenConnect. Le estensioni permettono al software di inviare comandi remoti tramite un'interfaccia di programmazione (API) protetta da una passphrase scelta dal partner durante la configurazione.
I client non autorizzati offrono un punto d'appoggio separato
Huntress ha rilevato l'attività per la prima volta intorno alle 17:47 UTC dell'11 novembre 2026. L'azienda ha detto a The Hacker News che la sua telemetria suggeriva che l'accesso ai pannelli potesse essere spiegato da credenziali rubate o da sessioni di operatori dirottate, sebbene il metodo di accesso restasse non chiarito e non avesse visto prove di una nuova vulnerabilità.
Una volta dentro un pannello, un attaccante può usarne la funzione Run Command per installare un client ScreenConnect controllato dall'attaccante sui dispositivi gestiti. Questa installazione garantisce all'attaccante un accesso continuo senza dipendere dal pannello originale.
I ricercatori di Huntress Ben Nahorney e Susannah Matt hanno individuato in SCKit il toolkit malevolo consegnato dai client non autorizzati. Oltre all'accesso remoto persistente, prepara una trappola pensata per intercettare i cookie di sessione, cioè i dati del browser usati per mantenere attive le sessioni autenticate.
Il toolkit arriva attraverso un payload cifrato e tramite sckit-run.bat, un dropper (uno script che scarica altro malware) codificato in Base64, un modo di rappresentare i dati sotto forma di testo. Lo script batch richiede sckit-decoder.ps1 a un server remoto; questo script PowerShell avvia SCKit. Altri componenti sono progettati per escludere file o percorsi dalla scansione di Microsoft Defender, aggiungere un altro client ScreenConnect controllato dall'attaccante, registrare un'attività pianificata denominata TrapWatch e sostituire l'installazione legittima con una controllata dall'attaccante.
Il rapporto descrive anche segnali di un possibile coinvolgimento di modelli linguistici di grandi dimensioni (LLM) in almeno uno script, basati su riferimenti dettagliati al codice e su commenti che ne spiegano il funzionamento.
Un meccanismo di diffusione ricostruito dai file
L'analisi di Huntress ha individuato una struttura simile a un worm che potrebbe trasformare la connessione di un tecnico in una via verso altri dispositivi. Un endpoint infetto potrebbe trasmettere il malware alla postazione del tecnico che si connette, dove sessioni del browser salvate e token di autenticazione potrebbero esporre altri pannelli ScreenConnect. Questi token sono credenziali che il software usa per autorizzare l'accesso.
Questa capacità di diffusione deriva in parte dall'analisi dei payload: Huntress non ha osservato un trasferimento riuscito da un endpoint infetto alla postazione di un tecnico, né da quella postazione verso altri endpoint.
La sequenza ricostruita inizia con Run-Lateral-Full.bat. Usa la connessione per raggiungere ns.mo7sen[.]dev e recuperare un loader, che raccoglie l'identificativo univoco della postazione e lo invia all'attaccante. La risposta fornisce un toolkit cifrato personalizzato per quella postazione.
Due script, Panel-Lateral.ps1 e LabConfig.ps1, lavorano insieme per sottrarre il cookie di sessione .aspxauth. Tentano di presentarlo al pannello come sessione autenticata e di ottenere i token necessari per elencare le altre sessioni accessibili al tecnico.
Successivamente, ToolboxRelayUploader.exe sfrutta l'accesso ottenuto per inserire WithUninstall.ps1 nello Shared Toolbox del pannello. Una richiesta inviata tramite il pannello ordina a ogni sessione raggiungibile di eseguire quell'elemento. Il payload è progettato per girare con SYSTEM, un account Windows con privilegi molto elevati, e per installare la trappola su questi endpoint. Circa 60 secondi dopo questa trasmissione, l'uploader rimuove l'elemento dal Toolbox.
Huntress ha inoltre trovato etichette numeriche progressive assegnate a provider di servizi gestiti (MSP) compromessi, cioè aziende che amministrano i sistemi dei clienti. Poiché la numerazione osservata inizia a partire da un punto intermedio della sequenza, i ricercatori hanno ipotizzato che altri provider possano essere stati compromessi in precedenza.
Sophos registra uno schema di installazione corrispondente
Un avviso separato di Sophos ha descritto distribuzioni non autorizzate di ScreenConnect provenienti da tre ID di istanza sospettate di essere compromesse: d905b2b1b165d0a9, 4b8f4089ddaac6a9 e df1f7ef0cfacd0d8. Le ulteriori istanze malevole distribuite tramite questa attività avevano gli ID 2588ef5c15954b10 e ed630cc2c873b091.
In una delle installazioni osservate, Curl.exe è stato usato per recuperare ScreenConnect.ClientSetup.msi da 185.99.255[.]28 e salvarlo come C:\Windows\TEMP\sc.msi. Un file di comandi generato da ScreenConnect ha poi invocato msiexec.exe per installare il pacchetto in modo silenzioso. Sophos ha inoltre osservato script che depositavano file batch sui sistemi ed eseguivano PowerShell con bypass della execution policy per scaricare uno script di secondo stadio da ns[.]mo7sen[.]dev/EadF.php?p=4.
Verifiche per partner e tecnici
ConnectWise ha fornito i seguenti indicatori di compromissione, cioè indirizzi e file che possono aiutare gli investigatori a cercare attività correlate:
- Indirizzi IP:
185.99.255[.]28,155.94.150[.]39 - Domini e URL:
ns[.]mo7sen[.]dev,ns[.]mo7sen[.]dev/EadF.php?p=4,sc[.]payproofkit[.]com,cdn007-digitaldownloads[.]com,newnewnew[.]gotdns[.]org,Soxnewwork[.]homedns[.]org - File:
sckit-run.bat,sckit-decoder.ps1,TrapWatch.ps1,Panel-Lateral.ps1,Run-Lateral-Full.bat,runnew.cmd,ToolboxRelayUploader.exe,Sqlite3.exe
ConnectWise raccomanda a tutti i partner di verificare che i propri controlli di sicurezza siano operativi e di conservare i log che mostrano attività sospette. Le sue indicazioni prevedono la revisione di:
- Accessi da posizioni sconosciute, errori di autenticazione ripetuti e richieste inattese di autenticazione a più fattori, che chiedono una verifica aggiuntiva dell'accesso.
- Account amministratore creati di recente e permessi utente modificati.
- Installazioni di estensioni non previste, comandi remoti e operazioni nel Toolbox.
- Software di accesso remoto non approvato sui dispositivi dei clienti o sulle postazioni dei tecnici.
- Richieste di assistenza inattese, messaggi di reimpostazione della password e download di software arrivati tramite un canale attendibile.
I partner con distribuzioni on-premise dovrebbero disattivare le cinque estensioni individuate da ConnectWise. Anche gli utenti di ScreenConnect dovrebbero controllare la cronologia dei Run Command, anche quando non è scattato alcun avviso.
