Вредонос SCKit использует уже закрытую уязвимость ScreenConnect для атак на техников MSP
Продолжающаяся кампания против развёртываний ConnectWise ScreenConnect использует уже закрытую критическую уязвимость CVE-2026-84869 (CVSS 9.9), а не новый дефект. Исследователи Blackpoint Cyber считают, что цель атаки, технические специалисты, которые подключаются к клиентским устройствам.
Главное в цифрах
- CVSS-оценка CVE-2026-84869: 9.9
- Дата добавления в каталог KEV CISA: 11 сентября 2026 года
- Срок установки исправлений для федеральных агентств: 14 сентября 2026 года
- Отключено сторонних расширений ConnectWise: пять
Blackpoint Cyber Adversary Pursuit Group (APG) получила и проанализировала набор инструментов атакующих, известный как SCKit. Эксперименты компании показали, что эксплойт нацелен именно на CVE-2026-84869, и полностью обновлённый клиент ScreenConnect не даёт выполнить его полезную нагрузку. Уязвимость связана с неправильным управлением привилегиями и отсутствием авторизации: она позволяет передавать файлы и выполнять их в активной удалённой сессии без подтверждения на хосте.
По словам исследователей Сэма Декера и Невена Беала, набор инструментов также умеет перехватывать сессии оператора и через штатные функции ScreenConnect рассылать вредоносный код. Исправление закрывает известный эксплойт, но не устраняет риски, связанные со скомпрометированной сессией оператора.
Как работает атака
Атака начинается с встроенной функции Run Command: сначала проверяется наличие установки ScreenConnect, затем загружается и запускается MSI-установщик sc.msi. Он доставляет пакетный скрипт sckit-run.bat, который скачивает PowerShell-декодер и разворачивает компоненты SCKit. Среди них скрипт SilentForceInstall-WithUninstall.ps1, который устанавливает два несанкционированных клиента ScreenConnect Access для постоянного доступа к заражённой машине, а также код на C#, включая компонент RelayTrap.
RelayTrap перехватывает следующее подключение техника к заражённому устройству и пытается выполнить код уже на его рабочей станции. После этого малварь ищет в данных браузера и памяти процессов cookie .ASPXAUTH, то есть действующую управленческую сессию, и через неё распространяется на другие устройства без учётных данных их владельцев.
Контекст и реакция
Ранее CVE-2026-84869 использовали в атаках, которые через ScreenConnect распространяли четырёхэтапный VBScript-скрипт и доставляли майнер XMRig. Уязвимость добавили в каталог KEV агентства CISA 11 сентября 2026 года, федеральным структурам требовалось установить исправления до 14 сентября 2026 года.
ConnectWise в качестве меры предосторожности отключила пять сторонних расширений в партнёрских средах, однако Blackpoint Cyber не нашла технической связи этих расширений с SCKit. По состоянию на момент публикации нет доказательств того, что атака достигла рабочей станции техника или обошла патч. Отдельно Huntress сообщила о серьёзном дефекте аутентификации в версиях 1.0.31 и 1.0.32 расширения RMM+: при отсутствии настроенного ключа доступа расширение принимало пустой ключ.
