ConnectWise heeft een ScreenConnect patch uitgebracht voor een kritieke kwetsbaarheid (CVE-2026-84869). De fout wordt al worm-achtig misbruikt, inclusief bestandsuitvoer en verspreiding via gekoppelde sessies.
Bij een wormachtige ScreenConnect-aanval worden gemanipuleerde clients via social engineering op systemen gezet. Daarna volgen VBScript-ketens, PowerShell-stappen en persistence om verder te verspreiden.
Onderzoekers zagen een ScreenConnect worm die via een vierstaps VBScript-keten opnieuw verbonden systemen infecteert. Drie verschillende lokazen leiden naar dezelfde malafide remote access installatie.
Onderzoekers waarschuwen voor campagnes met fake updates die via phishing en omwegen ScreenConnect installeren voor persisterende remote toegang. Daarnaast zien ze ook een gaming-variant met een Java infostealer die verder gaat dan alleen diefstal.
