活跃的 ScreenConnect 攻击入侵 MSP，影响数十家组织

ConnectWise 正在调查一场针对托管服务提供商（MSP）的活跃恶意软件活动，该活动利用被入侵的 ScreenConnect 环境向客户设备部署流氓远程访问客户端。

作为调查的一部分，ConnectWise 已在大约 400 个合作伙伴环境中禁用了五个第三方 ScreenConnect 扩展，作为预防措施，并警告称它们可能与这些攻击有关。

该活动最早由网络安全公司 Huntress 于周三发现，该公司表示已识别出六家被入侵的 MSP，以及 47 家组织中 286 个受影响的端点，且受害者数量持续上升。

"我们的 SOC 正在处理一场于今天 UTC 时间约 17:47 开始的活跃活动，目标是云托管的 ScreenConnect 实例，" Huntress 在 Reddit 上发帖称。

"我们目前追踪到 6 家被入侵的 MSP 和 286 个以上端点，且这些数字还在攀升。ConnectWise 已介入并与我们共同处理。"

ScreenConnect 是一个远程访问和支持平台，MSP 和 IT 团队用它来远程管理和排查客户设备的问题。

据 Huntress 称，攻击者利用 ScreenConnect 的 Run Command 功能在受管理的端点上部署流氓 ScreenConnect 客户端，在合法 MSP 的 ScreenConnect 环境之外提供远程访问。

研究人员还警告了一种可能更危险的技术：当 MSP 技术员与一台受感染的客户设备发起 ScreenConnect 会话时，攻击者可以入侵该技术员的工作站。

Huntress 首席威胁情报事件指挥官 Spike Brandt 告诉 BleepingComputer，该活动似乎涉及滥用合法功能，而非利用软件漏洞。

"这似乎是对合法功能的滥用，借助了定制的工具，在某些情况下，这些工具是在受害者的计算机上即时编译的，" Brandt 告诉 BleepingComputer。

"我们没有关于 '零号病人' 计算机或机器如何发起这次攻击的信息。"

Huntress 表示，当流氓 ScreenConnect 客户端出现在受监控的端点上时，它开始收到警报，随后获取了攻击者仍可访问的脚本，以分析攻击的工作方式。

然而，使恶意软件从受感染端点传播到技术员工作站的确切机制尚未被公开解释。

ConnectWise 禁用第三方扩展

在周三晚间发布的安全公告中，ConnectWise 确认了 ScreenConnect 合作伙伴账户遭到未经授权访问，以及客户环境中被安装未经授权的远程访问软件。

作为调查的一部分，该公司发现了五个可能与攻击相关的独立第三方扩展，并作为预防措施在大约 400 个合作伙伴环境中禁用了它们。

ScreenConnect 扩展通过其内置的 Extensions 市场经由 ScreenConnect 管理界面安装。

这些扩展是：

• Labtech Plus
• RMM Plus
• RMM+
• RMM Plus Password Link
• RMM+ Password Link

"我们的初步评估使我们怀疑威胁行为者通过合作伙伴可能添加到其环境中的独立第三方扩展部署了额外的远程访问软件，" ConnectWise 表示。

该公司强调，安装了这些扩展并不一定意味着网络已被入侵，攻击仍在调查中。

"禁用这些第三方扩展是一项预防性遏制措施。它并不能证明受影响设备上已存在的未经授权软件、持久化机制或访问权限已被移除，" ConnectWise 解释道。

尽管 ConnectWise 已在受影响的云托管环境中禁用了这些扩展，但它警告说，本地部署的 ScreenConnect 客户必须手动禁用它们，因为公司无法从其端代为操作。

合作伙伴还被指示在获得进一步指导之前，不要重新启用或重新安装这些扩展。

ConnectWise 警告说，禁用这些扩展并不会移除攻击者可能已在被入侵端点上建立的恶意软件、持久化机制或未经授权的访问。

该公司建议合作伙伴审查身份验证日志、扩展安装记录、管理活动、Run Command 历史和 Toolbox 记录，以发现可疑活动。

它还敦促技术员避免与可能被入侵的设备发起交互式 ScreenConnect 会话，而是使用单独的安全工具进行调查。

ConnectWise 还表示，已收到关于技术员工作站在交互式 ScreenConnect 会话期间被入侵的报告，但这些报告仍在确认中。

该公司补充说，没有理由相信未部署这五个已识别扩展的合作伙伴受到此事件影响，但鼓励所有合作伙伴保持高度警惕。

Huntress 尚未确定攻击者如何获得对受影响 MSP 环境的访问权限，但表示其当前的遥测数据指向被入侵的凭据或被劫持的操作员会话。

Huntress 还警告说，攻击者使用的顺序标识符表明，可能还有其他 MSP 早已被入侵。

"攻击者分配的顺序标签表明，其他 MSP 可能早已被入侵，因此 ScreenConnect 用户即使未收到警报，也应检查其 Run Command 历史，" Huntress 告诉 BleepingComputer。

Huntress 还分享了入侵指标（IOC），以帮助组织识别恶意活动，包括流氓 ScreenConnect 客户端 ID 和攻击者使用的基础设施。

这些指标包括：

• 攻击者中继：185.99.255[.]28（主机名：screen）
• C2 域名：newnewnew.gotdns[.]org、soxnewwork.homedns[.]org
• 可能的额外 C2：cdn007-digitaldownloads[.]com
• 二级 C2：sc.payproofkit[.]com（155.94.150[.]39，主机名：WIN-FB5CKHMU4E1）
• Stager：hxxps://ns.mo7sen[.]dev/EadF.php?p=4
• 流氓 ScreenConnect 客户端 ID：2588ef5c15954b10、ed630cc2c873b091
• 安装程序模式：/Bin/ScreenConnect.ClientSetup.msi?...&c=Exploited<N>
• 攻击者名称：Addmin
• 文件：Panel-Lateral.ps1、runnew.cmd、ToolboxRelayUploader.exe、Run-Lateral-Full.bat

研究人员敦促 MSP 审查其环境以寻找入侵迹象，并避免与可能受感染的端点发起交互式 ScreenConnect 会话。

Huntress 还告诉 BleepingComputer，其研究人员已联系 ConnectWise、托管攻击者基础设施的 VPS 提供商、其动态 DNS 服务被用于攻击的云提供商，以及更广泛的 MSP 社区。

与流氓 ScreenConnect 标识符相关的早期恶意活动

BleepingComputer 发现了一个引用 Huntress 所列流氓 ScreenConnect 客户端 ID 之一的早期恶意批处理脚本，表明该 ID 在当前攻击被披露前数月就已用于恶意活动。

该脚本名为 SSA-2026-STATEMENT-15518787.bat（VirusTotal），似乎伪装成一份社会安全管理局（Social Security Administration）的声明，于 2026 年 7 月 25 日首次上传到 VirusTotal。

该批处理文件试图添加 Microsoft Defender 排除项，并通过 Windows 启动文件夹和 Run 注册表键创建持久化。

随后它联系 amexsafekeyupdate.com，以获取两个独立安装程序的安装命令。

与该样本相关的 VirusTotal 沙箱活动包括从 cdn007-digitaldownloads[.]com 和 cyberrexdesign.screenconnect[.]com 下载 ScreenConnect MSI 安装程序，其中 cdn007-digitaldownloads[.]com 也被 Huntress 列为可能的 C2 域名。

启动第二个安装程序后，该脚本使用 PowerShell 在运行进程和 Windows 服务中搜索 ed630cc2c873b091——Huntress 识别出的流氓 ScreenConnect 客户端 ID 之一。

如果找到该标识符，脚本即认为安装成功，并通过 Telegram 向攻击者发送通知。

早期的脚本似乎也是为不同的分发活动设计的，其以社会安全为主题的文件名表明它可能已被用于钓鱼攻击。

被问及早期活动时，Huntress 拒绝对 7 月的具体事件发表评论，但表示它在 2026 年观察到使用合法远程监控与管理（RMM）软件作为初始载荷的攻击显著增加。

7 月的恶意活动与当前 ScreenConnect 攻击之间的关系仍不清楚。