Útoky přes ScreenConnect na poskytovatele IT služeb: ConnectWise vypnulo rozšíření RMM+

Co se stalo

ConnectWise 11. listopadu 2026 ve 22:45 UTC zveřejnilo varování: vyšetřuje hlášení o neoprávněném přístupu do prostředí některých partnerů ScreenConnect. Partneři jsou většinou poskytovatelé IT služeb (MSP), kteří přes ScreenConnect spravují počítače svých zákazníků. Podle hlášení útočníci do sítí zákazníků nasadili vlastní software pro vzdálený přístup. Hlášení uvádějí i to, že při interaktivním připojení k napadeným zařízením mohly být napadeny stanice techniků. Firma upozorňuje, že tato hlášení ještě ověřuje.

ConnectWise podle svého prohlášení nenašlo průnik do vlastní infrastruktury ani zranitelnost ve ScreenConnectu. Jako preventivní krok vypnulo rozšíření z rodiny RMM+. V aktualizaci z 12. 11. ve 2:45 UTC píše, že rozšíření mělo nainstalovaná asi 400 partnerských prostředí. Samotná přítomnost rozšíření ale napadení nedokazuje.

Jak útok probíhá

Vyšetřování pokračuje, ConnectWise zatím nezná způsob prvotního průniku ani celý rozsah. Pracovní hypotéza vypadá takto:

Dotčená rozšíření jsou Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link a RMM+ Password Link. Nevyvíjí je ConnectWise, jsou to nezávislá rozšíření třetích stran. Podle ConnectWise poskytují API schopné spouštět vzdálené příkazy a přístup k němu chrání jen heslová fráze, kterou si partner nastavil při instalaci. V cloudových instancích je ConnectWise vypnulo všude, kde mohlo. U instalací on-premise to udělat nemůže.

Jak poznat napadení

Indikátory od ConnectWise (zneškodněné). Firma upozorňuje, že pomáhají při vyšetřování, ale neurčují příčinu. Hashe souborů nezveřejnila.

185.99.255[.]28                     relay ScreenConnect útočníka (hostname "screen")
155.94.150[.]39                     záložní C2 (hostname WIN-FB5CKHMU4E1)
ns[.]mo7sen[.]dev                   doručení loaderu PowerShell
ns[.]mo7sen[.]dev/EadF.php?p=4      staging
sc[.]payproofkit[.]com              podvržený ScreenConnect a C2
cdn007-digitaldownloads[.]com       podvržený ScreenConnect
newnewnew[.]gotdns[.]org            C2
soxnewwork[.]homedns[.]org          C2

Soubory: sckit-run.bat, sckit-decoder.ps1, TrapWatch.ps1, Run-Lateral-Full.bat,
         runnew.cmd, ToolboxRelayUploader.exe
Cesty:   C:\ProgramData\RelayTrap\TrapWatch.ps1
         %TEMP%\sckit-*
Úloha:   naplánovaná úloha "TrapWatch" pod SYSTEM (podle hlášení každých 10 s)
Registr: hodnota Run "RelayTrapLiteAlert"
ScreenConnect – ID klientů: 2588ef5c15954b10, ed630cc2c873b091
ScreenConnect – účty: Addmin, rmmserver

ConnectWise dodává, že útočníci podle hlášení zneužívali i legitimní sqlite3.exe k přístupu k relacím uloženým v prohlížeči. Samotný výskyt tohoto nástroje napadení nedokazuje.

Naše tipy pro hledání:

• V auditním logu ScreenConnectu projděte nová přihlášení, nové administrátorské účty, instalace rozšíření a záznamy Run Command a Toolbox.
• Na zařízeních zákazníků hledejte klienty ScreenConnect, které se připojují k jinému relay serveru než k vašemu.
• Logy nebo export z EDR vložte do našeho extraktoru IOC. Vytáhne z nich IP adresy a domény a běží jen ve vašem prohlížeči.

Rozbor sady SCKit (doplněno 13. 11.)

Výzkumníci z Huntress a Blackpoint Cyber zveřejnili 11. 11. 2026 podrobné rozbory nástrojů, které útočníci na zařízení nasazovali. Huntress sadu nazývá SCKit a eviduje u svých zákazníků nejméně 288 napadených koncových bodů ve 48 organizacích. Útok začal 11. 11. kolem 17:47 UTC, třetina zařízení padla během prvních 10 minut a všechna během zhruba 90 minut.

Prvotní přístup. Huntress spojuje útok s rozšířením RMM+: ve verzích 1.0.31 a 1.0.32 přijme prázdný přístupový klíč, pokud ho správce nikdy nenastavil, a obchází uživatelské účty, role i MFA ScreenConnectu. Příkazy přicházely přes funkci Run Command pod účtem SYSTEM bez odpovídajícího přihlášení v logu. Záznam CVE-2026-127063 (ConnectWise jako CNA, 12. 11.) popisuje u všech verzí rozšíření výchozí statický API klíč; CVSS 4.0 je 9,3. ConnectWise píše, že nález výzkumníků ověřuje.

Na zařízení sada podle Huntress nainstaluje podvržený klient ScreenConnect (C:\Windows\TEMP\sc.msi), stáhne šifrovaný balík vázaný na UUID počítače, rozbalí se do C:\ProgramData\RelayTrap, přidá výjimky do Defenderu a druhý falešný klient. Úloha TrapWatch běží každých 10 sekund, z RelayTrap.cs přímo na počítači zkompiluje RelayTrap.exe, zastaví legitimního klienta a převezme jeho spojení.

Pokus o šíření („worm“). Když se technik k napadenému zařízení připojí, RelayTrap se mu pokusí poslat a spustit soubor (Run-Lateral-Full.bat). Ten má ukrást relační cookie konzole (.ASPXAUTH), nahrát skript do sdíleného Toolboxu a rozeslat ho na další zařízení. Využívá k tomu chybu klienta CVE-2026-84869 (CVSS 9,9), opravenou ve verzi 26.6.5 z 8. září 2026 a v katalogu CISA KEV už od 11. září 2026. Úspěšné šíření žádný z týmů nezaznamenal: Blackpoint v testu s aktuálním klientem ověřil, že oprava spuštění zablokuje, a ConnectWise ve své aktualizaci z 12. 11. 18:45 UTC potvrzuje, že klienti 26.6.5 a novější tuto techniku blokují. Huntress upozorňuje, že kód pasti nejspíš vygeneroval jazykový model.

Další indikátory z rozborů (SHA-256). Huntress upozorňuje, že hashe jsou slabé vodítko: skripty se sestavují s jinými hodnotami a RelayTrap.exe se kompiluje zvlášť na každém počítači.

d2ed7a7bf4f8ac9c7969e9b3a07ebd4dda0d858f372c876ac0a041611698de9a  TrapWatch.ps1
3c7a98f0fdb6235b8076319c74dc1085f7b349b6d750416dd0cadb07d7972ec4  RelayTrap.cs
4a1dd3cd2ea14368afadf7e9dfdd63b104e3981ef8c85bbb6510919b810af04b  install.ps1
8cb5f48bbe70b5248db7f327f3d1ad6649df5c767d2a7e0711ee147fd92e06af  ToolboxRelayUploader.exe
94b93c649b0ae0281352da9d01761fa9195ab1e6ac7010af3b9ba1646355eb11  Panel-Lateral-free.ps1
7a9aca9fdd4dcc13fe497cabdb13ca1e5d6a529271c8aa495e5ca1c1c80271ec  Panel-Lateral.ps1
81cc2baa35b798d6084bd078662fa29ff28df02c46c6ccdb2b43bde97d19f781  Stage0Loader.ps1
43b7a5e56f9e6c7b74e1ce2b7b5af63f383084625fcc2d3a5985fa1059e2db95  Run-Lateral-Full.bat
50659748723e906c8b3d3c0386bd4cf692f693a3e23639398c1a14d0c31fed61  runnew.cmd
a1937467fd862916f89342cdd61f55c4bc405fb35b6e1379e27cfbfdba77dcdc  SilentForceInstall-WithUninstall.ps1
d85315bd7602b6f5c13dc0eada2c9cba0892c7cd3b1eb7dacb1bffdd536ceb21  ScreenConnect.ClientSetup.msi

Cesty:   C:\Windows\TEMP\sc.msi, C:\Windows\Temp\sckit-run.bat
         C:\ProgramData\RelayTrap\trapbins\<id klienta>\RelayTrap.exe
         %TEMP%\k<32 hex znaků>.ps1, %PUBLIC%\RELAY-TRAP-PROOF.txt
Registr: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run – RelayTrapLiteAlert
Jiné:    výjimky Defenderu pro msiexec.exe a powershell.exe
         událost ScreenConnect s ID 201 (přenos a spuštění souboru)

Co přidal Microsoft (doplněno 14. 11.)

Microsoft 13. 11. 2026 kampaň potvrdil ve vlastní telemetrii a zveřejnil podrobný rozbor. Útočníka zatím nepojmenoval a počet zasažených organizací neuvádí. Oproti předchozím rozborům přidává tyto podrobnosti:

• Šifrování vázané na počítač. Dekodér si z registru přečte MachineGuid (HKLM\SOFTWARE\Microsoft\Cryptography), z něj a z hlavičky X-Lab-Half odvodí klíč (PBKDF2-HMAC-SHA256, 4 096 iterací) a balík dešifruje AES-256-CBC do %TEMP%\SCKitBundle. Stažený balík tak bez daného počítače nejde rozbalit, a proto mají hashe jen omezenou cenu.
• Krádež přihlášení do konzole. Sada hledá v profilech Chrome, Edge, Opera a Opera GX cookie .ASPXAUTH, dešifruje je přes DPAPI a hlavní klíč Chromia, prohledává paměť síťového procesu prohlížeče a u zamčených databází sahá po stínových kopiích svazku. S ukradenou cookie pak přes ToolboxRelayUploader.exe nahraje skript do sdíleného Toolboxu, nechá ho spustit a položku smaže.
• Pozor na úklidový skript ze sady. Úklidový režim dekodéru útočníka po „vyčištění“ znovu spustí, pokud nedostane přepínač -NoReArm. To vysvětluje opětovné napadení, které Huntress viděl po zrušení izolace. Microsoft výslovně doporučuje nepoužívat úklidový skript nalezený v sadě, ale vlastní nástroje pro řešení incidentu.

Názvy detekcí v Microsoft Defenderu (antivir), podle kterých můžete hledat v konzoli:

Trojan:Win32/SuspScreenConnectDownload.EA
Trojan:Win32/Tikise.EA!cmd
Trojan:PowerShell/RelayPersist.FC!MTB
Trojan:PowerShell/SCRelayTrap.EC!MTB
Trojan:BAT/Tikise.A až .D, Trojan:PowerShell/Tikise.A až .F
HackTool:Win32/ToolboxRelayUploader
Trojan:PowerShell/ScreenConnect.SC!MTB, Trojan:PowerShell/ScreenConnect.DC!MTB

Další hashe z rozboru Microsoftu (ty, které už jsou výše, neopakujeme):

61a672a13f03a9e81f573535ee92b1ed6cb7e848a33a06048865312d4e185ae2  sc.msi
8e6912deed82e80bb6bd66f73509d024b1f78b993515366d8317e69a97cff4f4  ZIP se sadou
b93f10f30ee453d1e1c046fec9d141c41d7680be5cd46c3aeb3febe0f4953b4d  LabConfig.ps1
cf50d73fa8117a758093b1344de41cd6a6ccddc645cdda1fa91a9264efe93956  Lite-Alert.ps1
5dd3a6ba806ac472663e243cfc1c034c534d5d9a42ec362c3dbf0f8d950148d0  Stop-LabTrap.bat
454c43d296b1276bde9a4f6ff1da2221cb35ccdb2fc7991bdd572e45bce12a8a  TRAP-PROOF.bat
Cesty:   %TEMP%\SCKitBundle, %TEMP%\SCKit\trapkit\payload
Jiné:    výjimky Defenderu pro cesty s Windows\Temp, ConnectWiseControl_, CWInstall_ nebo RelayTrap

Microsoft k blogu přikládá sedm dotazů pro rozšířené hledání (Advanced Hunting) v Defenderu – spojení na infrastrukturu kampaně, příkazové řádky sady, hodnoty registru a úlohy RelayTrap, zápisy výjimek Defenderu a artefakty loaderu PowerShell.

Co udělat

1. Vypněte všech pět rozšíření (on-premise hned) a znovu je neinstalujte, dokud ConnectWise nevydá další pokyny. Postup je v dokumentaci ScreenConnectu (Extensions page).
2. Nejdřív zajistěte důkazy: záznamy o přihlášení, instalacích rozšíření, administraci, Run Command a Toolbox.
3. Z důvěryhodného zařízení zneplatněte aktivní relace ScreenConnectu a poskytovatele identit, změňte hesla, vynuťte MFA a zkontrolujte přístupy k API rozšíření.
4. K podezřelým zařízením se nepřipojujte interaktivně přes ScreenConnect. Vyšetřujte jiným nástrojem a zahrňte i stanice techniků.
5. Napadená zařízení izolujte a vyčistěte. Vypnutí rozšíření a změna hesel podle ConnectWise samy neodstraní software, perzistenci ani přístup útočníka. Huntress doporučuje odstranit službu falešného klienta, úlohu TrapWatch, složku C:\ProgramData\RelayTrap, soubory v %TEMP% a hodnotu RelayTrapLiteAlert – a pozor, po zrušení izolace pozoroval opětovné napadení. Úklidový skript ze sady nepoužívejte (Microsoft) – útočníka může znovu spustit. Kde nejde ověřit integritu, zařízení přeinstalujte.
6. Ověřte verzi klienta u každého technika: 26.6.5.9742 nebo novější. Aktualizace cloudové konzole podle ConnectWise klienty techniků neaktualizuje. Kde to není potřeba, dočasně omezte oprávnění Transfer Files.
7. Aktualizujte servery, klienty techniků a agenty a projděte bezpečnostní příručku ScreenConnectu. Incident nahlaste NÚKIB (na Slovensku SK-CERT).

O dotčených partnerech v Česku a na Slovensku ConnectWise nic neuvádí. ScreenConnect ale u nás používají i menší IT firmy, které spravují kanceláře a obce, a ty by si měly zkontrolovat, zda rozšíření nemají.

Časová osa

Aktualizace

• 14. 11. 2026 – doplněn rozbor Microsoftu z 13. 11.: krádež cookie .ASPXAUTH z prohlížečů, šifrování balíku vázané na MachineGuid, opětovné spuštění úklidovým skriptem sady, názvy detekcí Defenderu a další hashe. Způsob prvotního průniku se podle Microsoftu dál vyšetřuje.
• 13. 11. 2026 – doplněn rozbor sady SCKit podle Huntress a Blackpoint (prvotní přístup přes RMM+ s prázdným klíčem, past RelayTrap, 288 zařízení ve 48 organizacích), CVE-2026-127063, doporučení klientů 26.6.5+ z aktualizace ConnectWise z 12. 11. 18:45 UTC a hashe.
• 12. 11. 2026 – první verze článku.