Хакеры взламывают ScreenConnect у MSP и ставят клиенты удалённого доступа: 47 организаций
Злоумышленники используют взломанные среды ScreenConnect у управляемых IT-провайдеров (MSP), чтобы установить несанкционированные клиенты удалённого доступа на устройства их заказчиков. Кампанию обнаружила компания Huntress, по её данным, под угрозой шесть MSP, 286 устройств и 47 организаций.
Главное в цифрах
- Скомпрометированные MSP: 6
- Затронутые конечные устройства: 286+
- Затронутые организации: 47
ConnectWise расследует кампанию, которую обнаружила Huntress в среду. По данным исследователей, атакующие применяют функцию Run Command в ScreenConnect, чтобы развернуть клиенты ScreenConnect на управляемых устройствах вне легитимной среды провайдера. Это даёт злоумышленникам удалённый доступ, которого у провайдера нет. Число жертв, по словам Huntress, продолжает расти.
Huntress также предупреждает о более опасной схеме: рабочая станция техника MSP может быть скомпрометирована во время сеанса с заражённым устройством клиента. Как именно работает эта техника, из-за чего она возможна, эксплуатирует ли она уязвимость или злоупотребляет легитимной функцией ScreenConnect, пока не ясно. Huntress пока не выяснила, как атакующие получают доступ к средам MSP, но её телеметрия указывает на украденные учётные данные и перехваченные сеансы поддержки.
Рекомендации и возможный охват
ConnectWise в заявлении BleepingComputer посоветовал партнёрам не открывать интерактивные сеансы ScreenConnect с подозрительными устройствами и провести расследование с помощью отдельных средств безопасности. Также компания рекомендует проверить активность учётных записей, отозвать активные сессии, сбросить учётные данные с доверенного устройства и проверить многофакторную аутентификацию. Подробности ConnectWise обещает публиковать в своём Trust Center.
Huntress считает, что другие MSP могли пострадать раньше. Последовательные идентификаторы, которые присваивают атакующие, на это указывают. Поэтому пользователям ScreenConnect стоит проверить историю Run Command, даже если оповещений не было. Huntress также опубликовала индикаторы компрометации, включая идентификаторы вредоносных клиентов ScreenConnect и инфраструктуру атакующих.
BleepingComputer нашёл более раннюю вредоносную пакетную программу, которая ссылается на один из вредоносных идентификаторов клиентов из списка Huntress. Файл, замаскированный под выписку Социального страхования США, впервые загрузили на VirusTotal 25 июля 2026 года. Связана ли эта активность с нынешними атаками на MSP, пока неясно.
