安全研究机构 Huntress 近日披露，攻击者利用 ScreenConnect 远程支持工具的第三方扩展漏洞，向 48 个组织的至少 288 台终端设备投放恶意软件。此次攻击主要针对云托管的 ScreenConnect 实例，涉及多家管理服务提供商（MSP）。
攻击过程与规模
Huntress 在周三通过 Reddit 首次发出警报，指出其安全运营中心正在追踪 6 家受影响的管理服务提供商及超过 286 个受影响的终端。攻击始于有人利用 ScreenConnect 的远程命令功能，在多个 IT 服务提供商管理的机器上安装名为“流”的客户端。
监测数据显示，Huntress 于协调世界时（UTC）17:47 左右发现这些攻击活动。在随后的 90 分钟内，全部 288 个目标终端遭到入侵，其中约三分之一在前 10 分钟内即被攻破。由于攻击者似乎对受害者进行顺序编号，研究人员怀疑可能有更多 MSP 已被渗透。
SCKit 恶意软件工具包分析
攻击者部署了一个包含 16 个文件的恶意软件工具包，命名为 SCKit。该工具包不仅安装了独立的 ScreenConnect 客户端，还内置了旨在将感染传播给 IT 技术人员及其他潜在客户的代码。
SCKit 具有陷阱机制：如果技术人员通过 ScreenConnect 连接至受感染的计算机，工具包会尝试将恶意软件转移至技术人员的工作站，窃取身份验证 Cookie，并利用其访问权限感染其他机器。这一策略意在让攻击者从一个受影响的客户横向移动至同一 IT 提供商管理下的其他客户网络。不过，Huntress 表示目前尚未观察到这种传播方式成功执行，在检查的所有恢复主机日志中，该操作均告失败。
值得注意的是，Huntress 怀疑 SCKit 中的部分 C# 代码是由大语言模型（LLM）生成的。
漏洞根源与版本影响
ConnectWise 于 2015 年 2 月收购了 ScreenConnect。此次事件追溯到 RMM+ 扩展中可能存在的身份验证漏洞。具体而言，RMM+ 扩展的 1.0.31 和 1.0.32 版本存在缺陷，导致未配置访问密钥的安装程序接受空白密钥。由于 RMM+ 独立于 ScreenConnect 正常的用户账户和身份验证控制，攻击者得以在不绕过 MFA（多因素认证）的情况下执行命令。
尽管缺乏相应的登录活动记录，但 Huntress 称调查结果与其调查人员在攻击期间观察到的现象一致。此外，研究人员确认此次攻击波及 ScreenConnect 26.6.6.9747 和 26.7.6.9783 版本，这意味着运行最新发布版本的系统管理员同样面临风险。
厂商回应与安全建议
ConnectWise 承认第三方扩展可能卷入此事，但未确认攻击者最初如何获得访问权限。该公司在安全咨询中表示，正在调查对某些合作伙伴环境的未经授权访问，并确定了大约 400 个安装了 RMM+ 家族至少一个扩展的环境。ConnectWise 强调，这 400 个环境被确定是因为安装了相关扩展，而非一定已被破坏。
作为应对措施，ConnectWise 已禁用了包括 RMM+、RMM Plus 和 Labtech Plus 在内的五个具备远程执行能力的扩展，并敦促运行自有 ScreenConnect 服务器的客户效仿。公司声明：“到目前为止，我们没有发现 ConnectWise 基础设施或 ScreenConnect 自身漏洞的证据。”
Huntress 和 ConnectWise 共同建议管理员不要通过 ScreenConnect 远程连接来调查疑似感染，以免使技术人员自身的机器陷入危险。管理员应使用其他安全工具检查受影响的机器，查找“流”的 ScreenConnect 客户端以及已运行的命令，并在机器重新上线前彻底删除残留的恶意软件。
Huntress 警告称，由于恶意软件未被正确清除，一些机器在被隔离后几分钟内再次感染。ConnectWise 也指出，仅仅禁用易受攻击的扩展和重置凭据可能无法移除未经授权的软件、持久性机制或已在终端建立的访问权限。攻击者已安装自己的远程访问软件，驱逐它们比关闭入口更为困难。
