De zogeheten ScreenConnect-aanvallen lijken zich niet te beperken tot één getroffen organisatie. Onderzoekers melden dat aanvallers in totaal ten minste 288 endpoints binnen 48 organisaties hebben geraakt. De campagne gebruikt volgens de beschikbare informatie een combinatie van misbruik van toegang en door malware gedreven verspreiding richting beheerde systemen.
ConnectWise heeft daarnaast een voorlopige maatregel genomen in partneromgevingen: bepaalde derde-partij extensies zijn tijdelijk uitgeschakeld. Dat is gedaan nadat er signalen waren van ongeautoriseerde toegang, zonder dat er op dat moment bewijs was dat de ScreenConnect-infrastructuur zelf gecompromitteerd was of dat er een kwetsbaarheid in de software aan ten grondslag lag.
Wat er volgens ConnectWise mogelijk is gebeurd
ConnectWise geeft aan dat de eerste beoordeling wijst op misbruik van onafhankelijke derde-partij extensies die partners in partneromgevingen hebben geïnstalleerd. De organisatie meldt daarbij expliciet dat er geen aanwijzingen zijn gevonden die wijzen op een compromis van de eigen infrastructuur of op een fout/kwetsbaarheid in ScreenConnect.
Om risico’s te beperken zijn vijf extensies in partneromgevingen tijdelijk uitgezet. ConnectWise benadrukt dat het enkel aanwezig zijn van deze extensies nog niet bewijst dat er misbruik of compromis heeft plaatsgevonden—maar dat de beveiligingscontrole nu wel aangescherpt wordt.
Welke extensies zijn (voorzorg) uitgeschakeld
- Labtech Plus
- RMM Plus
- RMM+
- RMM Plus Password Link
- RMM+ Password Link
Waarom extensies extra aandacht vragen
De kern van ConnectWise’ toelichting is dat sommige van deze extensies een API kunnen bieden waarmee remote commando’s uitgevoerd worden. Tegelijkertijd is die toegang volgens ConnectWise beveiligd met een passphrase die de partner tijdens het inrichten instelt.
Het advies draait daarmee niet alleen om ScreenConnect zelf, maar vooral om de manier waarop uitbreidingen en automatiseringen zijn geconfigureerd. Ook geeft ConnectWise aan dat ze ongeveer 400 partneromgevingen hebben geïdentificeerd waar ten minste één van de genoemde extensies aanwezig is.
Verdacht gedrag om te monitoren
ConnectWise raadt partners aan om beveiligingscontroles actief te houden, verdachte logs te bewaren en extra alertheid te betrachten op een reeks signalen. Denk daarbij aan zowel accountgedrag als aan technische sporen die passen bij remote misbruik.
Concreet noemt de melding onder meer:
- Ongebruikelijke aanmeldingen, onbekende locaties
- Herhaalde mislukte loginpogingen
- Onverwachte prompts voor multi-factor authenticatie (MFA)
- Nieuwe beheeraccounts of wijzigingen in rechten/permissions
- Onverwachte extensie-installaties, remote commando’s en Toolbox-activiteiten
- Niet-goedgekeurde remote-access software op klantapparaten en werkplekken van technici
- Onverwachte supportaanvragen, password-reset berichten en softwaredownloads via een zogenaamd “vertrouwd” kanaal
Indicators of compromise (IoC’s) waar je naar kunt zoeken
ConnectWise heeft ook een set IoC’s gedeeld om onderzoek te versnellen. Hieronder staan enkele van de genoemde IP-adressen, domeinen/URL’s en artefactnamen uit de publieke advisering.
IP-adressen:
- 185.99.255[.]28
- 155.94.150[.]39
Domeinen en URL’s:
- ns[.]mo7sen[.]dev
- ns[.]mo7sen[.]dev/EadF.php?p=4
- sc[.]payproofkit[.]com
- cdn007-digitaldownloads[.]com
- newnewnew[.]gotdns[.]org
- Soxnewwork[.]homedns[.]org
Artefacten:
- sckit-run.bat
- sckit-decoder.ps1
- TrapWatch.ps1
- Panel-Lateral.ps1
- Run-Lateral-Full.bat
- runnew.cmd
- ToolboxRelayUploader.exe
- Sqlite3.exe
Wat Huntress rapporteert: wormachtige verspreiding en rogue clients
Naast ConnectWise volgt ook Huntress de activiteit. Volgens hun observaties zetten aanvallers toegang tot cloud-gehoste ScreenConnect panels in om Run commands te pushen. Het doel is het installeren van rogue ScreenConnect clients op beheerde endpoints.
Huntress meldt dat de activiteit voor het eerst werd gedetecteerd op 11 november 2026 rond 17:47 UTC. Ook geven ze aan dat ze geen bewijs hebben gezien voor een nieuwe kwetsbaarheid, maar dat de exacte route naar paneltoegang nog onduidelijk blijft.
De huidige telemetrie wijst eerder op gecompromitteerde credentials of het kapen van operator-sessies als startpunt.
De aanval in twee stappen
Huntress beschrijft het geheel als een aanpak met een worm-like karakter door een twee-staps cyclus.
- Eerste toegang: aanvallers gebruiken de “Run Command”-functionaliteit van een gecompromitteerd ScreenConnect panel om een rogue ScreenClient uit te rollen. Daarmee ontstaat een persistent backdoor die minder afhankelijk wordt van het oorspronkelijke panel.
- Lateral movement: wanneer een technicus verbinding maakt met een geïnfecteerd endpoint via ScreenConnect, kan de malware terug “meeliften” naar de werkplek van de technicus. Daarna wordt de verspreiding doorgezet naar andere endpoints die via het panel bereikbaar zijn.
In deze fase kan de malware volgens Huntress ook browser sessies en authenticatie-tokens proberen te misbruiken en vervolgens pivotten naar extra ScreenConnect panels.
SCKit en de ‘relay trap’ voor sessie-cookies
De rogue clients leveren een component genaamd SCKit, een custom toolkit die persistent remote access ondersteunt en een relay trap vormt om sessie-cookies te onderscheppen. Huntress geeft aan dat de infectieroute in twee richtingen werkt: van een geïnfecteerd endpoint naar een technicus die daarop aansluit, en van de technicus-werkplek naar endpoints die het panel kan bereiken.
Niet alle functionaliteit werd volgens de onderzoekers in dezelfde incidenten waargenomen. Sommige onderdelen kwamen naar voren bij analyse van de payloads.
Hoe de payloads volgens de analyse worden opgehaald
Volgens de beschreven keten wordt SCKit geleverd als een versleutelde payload. Daarnaast zou een Base64-encoded dropper (zoals sckit-run.bat) worden ingezet die vervolgens contact legt met een externe server. Daarna haalt een PowerShell-pakket (zoals sckit-decoder.ps1) de toolkit op.
Meerdere onderdelen zijn ontworpen om ook de verdediging te beïnvloeden en de controle te vergroten, waaronder het aanpassen van Microsoft Defender-exclusies, het installeren van een tweede attacker-controlled ScreenConnect client, en het aanmaken van een scheduled task met de naam TrapWatch.
Verder wordt de legitieme ScreenConnect-installatie volgens de analyse vervangen door een door de aanvaller gecontroleerde variant.
Spiegelen naar de werkplek: aanvalrichting vanaf technici
Opvallend is dat Huntress ook extra functionaliteit beschrijft die mogelijk niet alleen vanaf endpoints werkt, maar ook vanaf de workstation van een technicus richting het panel. In de analyse is een pad gevonden dat een dropper (“Run-Lateral-Full.bat”) gebruikt om vervolgens via een externe server een loader te downloaden.
Die loader zou een uniek ID van de werkplek verzamelen, terugsturen naar de aanvaller en daarna een voor die werkplek tailored versleuteld pakket terugkrijgen. Dit pakket bevat onder meer stappen om een .aspxauth sessiecookie te stelen, die vervolgens tegen het panel gerepresenteerd wordt om tokens op te halen en sessies te enumereren.
Daarnaast noemt Huntress een component (zoals ToolboxRelayUploader.exe) die via toegang tot andere sessies een payload kan uploaden naar de Shared Toolbox, waarbij uiteindelijk ook opruimacties plaatsvinden (zoals het verwijderen van de Toolbox-item na korte tijd).
Wat je nu als organisatie kunt doen
Omdat de aanval te maken heeft met remote command execution en session/token misbruik, draait de eerste stap om scope en detectie. Zelfs wanneer er geen directe aanwijzing is dat je eigen omgeving gecompromitteerd is, kan het verstandig zijn om proactief te controleren.
- Controleer je ScreenConnect Run Command historie en vergelijk acties met verwachte beheertaken.
- Monitor accountgedrag: nieuwe beheerdersaccounts, permission changes en ongebruikelijke aanmeldingen.
- Zoek op IoC’s: IP’s, domeinen/URL’s en genoemde artefacten in logs en endpoints.
- Verifieer extensies en configuratie: installeerde third-party extensies, API-passphrases en of voorzorgsmaatregelen zijn doorgevoerd.
Als je meer wilt weten over wat er gebeurt wanneer aanvallers remote access inzetten, kun je ook kijken naar vergelijkbare incidentpatronen. Bijvoorbeeld: Xen Orchestra: authenticatie omzeild en beheer overgenomen, waar eveneens de combinatie van toegang en laterale impact centraal staat.
Extra context: ook Sophos ziet ongeautoriseerde deployments
In een afzonderlijke melding meldt Sophos dat zij eveneens ongeautoriseerde ScreenConnect client deployments hebben waargenomen met een vergelijkbare werkwijze. Daarin worden ScreenConnect instance IDs genoemd die vermoedelijk gecompromitteerd zijn om commando’s uit te voeren en aanvullende malafide instanties te starten.
Daarnaast beschrijft Sophos een keten waarin een installer via een extern IP-adres wordt opgehaald, vervolgens stil wordt geïnstalleerd met msiexec en daarna staging/batch en PowerShell-activiteit plaatsvindt om een tweede fase script te downloaden.
Het is een zich ontwikkelende situatie, dus het is verstandig om adviseringen van leveranciers en onderzoekers actief te blijven volgen.
Conclusie: behandel ScreenConnect-aanvallen als een incident dat je opschaalt
De beschikbare informatie over ScreenConnect-aanvallen laat zien dat de impact zich kan uitstrekken tot honderden endpoints, en dat aanvallers kunnen profiteren van remote commando’s, technicus-werkstromen en token- of sessionmisbruik. ConnectWise stuurt daarbij aan op voorzorg met het tijdelijk uitschakelen van specifieke third-party extensies, terwijl Huntress een wormachtige verspreidingsmethode beschrijft met rogue clients en persistente toegang.
Voor organisaties betekent dit: snel controleren, logs veiligstellen, extensies en configuraties herbeoordelen en actief zoeken naar de gedeelde IoC’s en gedragsindicatoren. Zo vergroot je de kans om besmettingen vroeg te stoppen en verdere verspreiding te beperken.
Bron: https://thehackernews.com/2026/11/screenconnect-attacks-target-at-least.html
