新型蠕虫式 'SCKit' 恶意软件在 ScreenConnect 攻击中瞄准 MSP

在近期针对托管服务提供商（MSP）的 ScreenConnect 攻击中，部署了一款名为 SCKit 的新型蠕虫式恶意软件工具包，其设计目的是从受感染的客户设备传播到 MSP 技术人员的计算机，并入侵其他被管理的网络。

该恶意软件工具包使用一种蠕虫式技术，利用一个此前已修补的 ScreenConnect 漏洞 CVE-2026-84869，在技术人员连接到受感染设备时，在其工作站上执行恶意代码。

不过，Huntress 和 Blackpoint Cyber 的研究人员表示，他们在这些攻击中并未观察到该缺陷被成功利用，Blackpoint 确认该利用程序在针对已修补的 ScreenConnect 客户端进行测试时失败。

这些发现紧随昨日的广泛 ScreenConnect 攻击之后——攻击者未经授权访问了云托管的 ScreenConnect 环境，并利用该平台的 Run Command 功能在客户端点安装了流氓 ScreenConnect 远程访问客户端。

ScreenConnect 是一个远程访问与支持平台，MSP 和 IT 团队用它来远程管理和排查客户设备问题。

根据 Huntress 的一份更新报告，这些攻击入侵了 48 个组织中至少 288 个端点，所有受影响设备均在 90 分钟内被攻击。其中约三分之一的系统在最初 10 分钟内就受到影响。

Huntress 还认为，初始访问是通过 RMM+ 进行的——这是 ScreenConnect 的一个第三方扩展，允许外部管理工具在不使用标准技术人员控制台的情况下与 ScreenConnect 会话交互。

研究人员发现，RMM+ 1.0.31 和 1.0.32 版本存在一个认证缺陷，可能允许攻击者在未向 ScreenConnect 认证或未完成多因素认证的情况下执行命令。

RMM+ 使用共享访问密钥来认证请求，而非使用 ScreenConnect 的正常用户账户和认证机制。然而，存在漏洞的版本允许在管理员从未配置过访问密钥的情况下让访问密钥保持为空。

当这种情况发生时，攻击者可以提供空访问密钥并通过该扩展的认证检查，从而通过 ScreenConnect 环境发出远程命令。

Huntress 表示，这与攻击期间观察到的活动相符——命令在多个 ScreenConnect 实例上执行，却没有相应的用户登录活动，而日志将这些命令关联到了 RMM+。

作为响应的一部分，ConnectWise 在大约 400 个合作伙伴环境中禁用了五个可能相关的第三方扩展。该公司强调，这些扩展的存在并不意味着这些环境已被入侵。

SCKit 试图通过 ScreenConnect 会话传播

在各自的分析中，Huntress 和 Blackpoint Cyber 检查了 SCKit——一套由 16 个脚本和组件组成的集合，旨在建立持久远程访问并在通过 ScreenConnect 管理的系统之间传播。

Blackpoint Cyber 的 Adversary Pursuit Group（APG）直接从攻击者控制的基础设施中恢复了该恶意软件的加载器，并解密了后续阶段，从而获得完整的加载器以及攻击中使用的一个 ScreenConnect 安装程序。

攻击者首先部署额外的 ScreenConnect Access 客户端，配置为连接到其控制的服务器，以便即使原始 MSP ScreenConnect 会话被终止也能保持持久远程访问。

然而，SCKit 更新颖的能力在于，它试图将一次合法的 MSP 远程支持会话转变为针对发起该会话的技术人员的攻击。

该工具包包含一个名为 RelayTrap 的组件，其设计目的是替换在受感染端点上运行的合法 ScreenConnect Guest 进程，并等待 MSP 技术人员建立交互式连接。

攻击者并未投放预编译的可执行文件，而是将 RelayTrap 作为名为 RelayTrap.cs 的 C# 源代码文件存储在其基础设施上。

该源代码随后被下载到受入侵设备上，由一个 PowerShell 脚本在本地将其编译为可执行文件。

另一个名为 TrapWatch 的组件监控 ScreenConnect 服务，并准备替换用的 Guest 进程以拦截传入的支持会话。

当 MSP 技术人员连接时，RelayTrap 试图以与正常远程支持操作相反的方向发送恶意文件——从受感染的客户端点发送到技术人员的工作站。

该技术试图利用 CVE-2026-84869——一个严重的 ScreenConnect 客户端侧文件传输漏洞，ConnectWise 已在 26.6.5 版本中修补。

正常情况下，ScreenConnect 允许技术人员向被管理端点发送文件并远程执行它们。相反，该漏洞可能允许恶意 Guest 将文件发送回技术人员并使其被执行。

恢复的源代码还包含大量注释，解释其功能、兼容性变通方法和之前的编码错误，使其看起来像是由 LLM 生成的代码。

Huntress 也指出，RelayTrap 似乎是用大型语言模型生成的。

一旦在技术人员的工作站上运行，其他 SCKit 组件会试图从 Web 浏览器中窃取 ScreenConnect 认证 cookie，这可能让攻击者劫持技术人员已认证的管理会话，而无需其凭据或新的 MFA 挑战。

该恶意软件随后试图利用技术人员现有的 ScreenConnect 权限枚举可访问的端点，并通过合法的管理功能（包括该平台的 Shared Toolbox）分发恶意命令。

这形成了一条蠕虫式感染链：受感染的客户端点可能感染 MSP 技术人员的工作站、窃取其管理会话，并利用该访问权限入侵其他客户组织中的更多端点。

然而，Huntress 和 Blackpoint Cyber 在当前攻击活动中并未看到这种蠕虫式行为成功。

Blackpoint 研究人员 Sam Decker 和 Nevan Beal 告诉 BleepingComputer，他们针对当前的 ScreenConnect 客户端复现了该工具包尝试的利用，发现现有的安全修复阻止了执行。

"Guest 端排入了传输，但当前客户端从未请求或运行载荷，" 研究人员解释道。

"因此我们确认了该工具包的构建目的，但目前没有成功利用的证据，也没有绕过的证据。"

Huntress 同样报告称，在其检查的每一份恢复的主机日志中，控制台接管尝试均告失败。

建议 MSP 禁用受影响的第三方扩展、更新 ScreenConnect 客户端、调查未经授权的远程访问安装，并审查 Run Command 和 Toolbox 活动以寻找入侵迹象。

两个研究团队还建议避免与可能受感染的端点进行交互式 ScreenConnect 会话，转而使用单独的安全工具来调查系统。