In een recente ScreenConnect malwarecampagne werden honderden endpoints gecompromitteerd via cloud-hosted panels. Onderzoekers zagen SCKit als tool voor persistente toegang en een RMM+-authenticatiefout als toegangspoort.
ScreenConnect-aanvallen worden gekoppeld aan een campagne die minstens 288 endpoints bij 48 organisaties besmet. ConnectWise adviseert partners om specifieke extensies tijdelijk uit te schakelen en verdacht gedrag te monitoren.
Aanvallers misbruiken MSP360 RMM in phishingcampagnes om ScreenConnect op getroffen systemen te installeren. Microsoft zag een keten met digitale handtekening, UAC-elevatie, services en extra tooling.
ConnectWise heeft een ScreenConnect patch uitgebracht voor een kritieke kwetsbaarheid (CVE-2026-84869). De fout wordt al worm-achtig misbruikt, inclusief bestandsuitvoer en verspreiding via gekoppelde sessies.
Bij een wormachtige ScreenConnect-aanval worden gemanipuleerde clients via social engineering op systemen gezet. Daarna volgen VBScript-ketens, PowerShell-stappen en persistence om verder te verspreiden.
Onderzoekers zagen een ScreenConnect worm die via een vierstaps VBScript-keten opnieuw verbonden systemen infecteert. Drie verschillende lokazen leiden naar dezelfde malafide remote access installatie.
Onderzoekers waarschuwen voor campagnes met fake updates die via phishing en omwegen ScreenConnect installeren voor persisterende remote toegang. Daarnaast zien ze ook een gaming-variant met een Java infostealer die verder gaat dan alleen diefstal.
