Активна кибератака компрометира среди на софтуера за отдалечена поддръжка ScreenConnect при доставчици на управлявани ИТ услуги (MSP). Нападателите злоупотребяват с легитимни функции на платформата, за да инсталират нерегламентирани инструменти за отдалечен достъп директно върху крайните компютри на клиентски фирми. Случаят засяга сериозно компании, които разчитат на външна ИТ поддръжка, и подчертава риска от атаки по веригата за доставки.
Как се развива атаката срещу ScreenConnect
Кампанията беше открита от екипа по сигурност на Huntress около 17:47 UTC и засегна множество облачно хоствани инстанции на ScreenConnect. Към момента анализаторите потвърждават 6 компрометирани доставчика на ИТ услуги и над 286 засегнати работни станции и сървъри в 47 организации, като данните показват тенденция броят им да продължи да нараства.
ScreenConnect, разработен от ConnectWise, е масово използван от ИТ отдели и доставчици за дистанционно отстраняване на проблеми и администриране. По данни на Huntress хакерите не експлоатират класическа софтуерна уязвимост в приложението, а злоупотребяват с вградената административна функция Run Command. Чрез нея те разгръщат дублиращи, нерегламентирани ScreenConnect клиенти на крайните устройства, което им осигурява пълен паралелен контрол извън легитимната конзола на системния администратор.
Заплаха за работните станции на ИТ техниците
Един от най-тревожните елементи в разследването е възможността за пренасяне на компрометирането в обратна посока. Анализаторите предупреждават за риск работната станция на самия ИТ специалист да бъде компрометирана, когато той стартира интерактивна сесия за поддръжка към вече заразено устройство на клиент.
В отговор производителите от ConnectWise потвърдиха наличието на нерегламентиран достъп до партньорски акаунти и инсталиране на неоторизиран софтуер за отдалечен контрол. В хода на разследването компанията идентифицира пет разширения от трети страни, които са свързани с атаките, и превантивно ги деактивира в около 400 партньорски среди. Тези добавки обикновено се инсталират през вградения каталог за разширения (Extensions marketplace) на административния интерфейс.
Внимание при локални сървъри: ConnectWise деактивира рисковите разширения централизирано в своята облачна услуга. Ако организацията ви или вашият ИТ партньор използва локална (on-premises) инсталация на ScreenConnect, спирането на добавките трябва да се извърши изцяло ръчно.
Какво показва анализът на зловредния код
Според Спайк Бранд от Huntress извършителите разчитат на специално създадени инструменти, които в някои случаи се компилират директно на компютъра на жертвата. Въпреки че начинът на първоначалния пробив все още се изяснява, текущите данни насочват към компрометирани администраторски пароли или отвлечени операторски сесии. Последователните служебни етикети, оставяни от нападателите, дават основание да се предполага, че и други ИТ доставчици са били компрометирани на по-ранен етап.
Допълнителен анализ на зловреден файл (SSA-2026-STATEMENT-15518787.bat), качен в платформата VirusTotal на 25 юли 2026 г., разкрива, че същите идентификатори на клиенти (като ed630cc2c873b091) са използвани в злонамерена дейност месеци по-рано. Скриптът е добавял изключения в защитната програма Microsoft Defender, създавал е правила за автостартиране в регистрите на Windows и след зареждане на неоторизиран клиент на ScreenConnect е изпращал потвърждение към нападателите през Telegram. От Huntress отбелязват осезаем скок през 2026 г. на атаките, които използват легитимен RMM софтуер (софтуер за дистанционно наблюдение и управление) като средство за навлизане в корпоративните мрежи.
Какви действия трябва да предприемете веднага
ConnectWise подчертава, че самото изключване на външните разширения не премахва софтуера за отдалечен достъп или създадените механизми за задържане, ако дадено устройство вече е компрометирано. Препоръчва се незабавно прилагане на следните мерки:
Прегледайте системните дневници за автентикация, записите за инсталирани разширения и историята на изпълнените команди през Run Command и инструментите в Toolbox.
При самостоятелно хостван ScreenConnect деактивирайте ръчно всички външни разширения на трети страни и не ги пускайте отново до изрични указания от производителя.
Инструктирайте техническите лица да избягват интерактивни сесии за отдалечен работен плот с машини, показващи признаци на компрометиране, и да използват независими инструменти за изолация и анализ.
Проверете работещите Windows услуги и процеси за наличие на непознати инстанции на ScreenConnect или връзки към неоторизирани сървъри за управление.
Защита на веригата за доставки в ИТ поддръжката
Кампанията срещу ScreenConnect илюстрира критичния риск от концентрирането на мощен административен достъп в един инструмент за дистанционно управление. Когато външен доставчик бъде пробит, нападателите получават готов коридор до всички негови клиенти, заобикаляйки стандартните бариери на периметъра. Екипът на Defend.bg може да съдейства на вашата компания за подробен одит на политиките за отдалечен достъп, сегментиране на мрежата и въвеждане на строг контрол върху правата на използваните административни инструменти.
