Нове шкідливе програмне забезпечення SCKit атакує користувачів ScreenConnect

Нове шкідливе програмне забезпечення під назвою SCKit було виявлено в межах нещодавніх атак на платформу віддаленого доступу ScreenConnect. Інструментарій розроблений для того, щоб поширюватися з інфікованих пристроїв клієнтів на комп’ютери техніків постачальників керованих послуг (MSP). Згідно з даними компаній Huntress та Blackpoint Cyber, початковий доступ до систем був отриманий через стороннє розширення RMM+ версій 1.0.31 та 1.0.32, що мало вразливість у системі автентифікації.

Про це повідомляє BleepingComputer

За даними Huntress, протягом 90 хвилин було скомпрометовано 288 кінцевих точок. Зловмисники використовували функцію виконання команд Run Command для встановлення несанкціонованих клієнтів віддаленого доступу. Компанія ConnectWise вже заблокувала п’ять потенційно небезпечних сторонніх розширень у близько 400 партнерських середовищах.

Дослідники виявили, що SCKit намагається використати вразливість CVE-2026-84869 для виконання коду на робочих станціях техніків. Проте фахівці зазначають, що в реальних умовах механізм атаки не спрацював на оновлених клієнтських системах.

Клієнтська сторона поставила передачу в чергу, але поточний клієнт ніколи не запитував і не запускав корисне навантаження.

— Сем Декер та Неван Біл, дослідники Blackpoint Cyber

Експерти припускають, що код SCKit, зокрема компонент RelayTrap, був створений за допомогою великої мовної моделі. Наразі ІТ-спеціалістам рекомендується вимкнути сторонні розширення, оновити програмне забезпечення ScreenConnect та перевірити журнали активності на наявність несанкціонованих дій. Дослідники радять уникати інтерактивних сеансів підтримки з потенційно інфікованими пристроями до завершення перевірки безпеки.