ScreenConnect RMM+漏洞致288主机被植入SCKit

资讯专家

Huntress 披露一起针对 ConnectWise ScreenConnect 的新攻击活动。攻击者利用对云托管 ScreenConnect 面板的未授权访问，在托管终端上执行命令。至少 6 家 MSP、48 个组织、288 台主机受影响，全部 288 台主机在 90 分钟内被命中。

攻击者投放了恶意 ScreenConnect 客户端以及名为 SCKit 的恶意软件工具包。该工具包可提供持久化后门、拦截会话 Cookie，并具备自我复制能力。其初始投放通过 ScreenConnect 面板完成，随后等待技术人员连接受感染终端，以感染其工作站；接着尝试入侵该技术人员可访问的其他会话，并向其他面板扩散。Huntress 指出，并非所有功能都在已观察事件中出现，部分功能是通过分析载荷发现的。

攻击链涉及第三方扩展 RMM+ 的认证绕过问题。该扩展使用共享访问密钥绕过 ScreenConnect 认证。Huntress 认为攻击者很可能利用了 1.0.31 和 1.0.32 版本中的缺陷：如果管理员从未配置访问密钥，密钥会默认为空，从而允许攻击者以空值绕过认证。调查显示命令在数分钟内到达终端，但没有对应的登录活动，相关日志指向 RMM+。

ConnectWise 已在约 400 个 ScreenConnect 环境中禁用 RMM+ 系列的五个扩展，包括 Labtech Plus、RMM Plus、RMM+、RMM Plus Password Link 和 RMM+ Password Link。ConnectWise 表示，仅存在这些扩展并不代表已失陷；这些扩展提供可执行远程命令的 API，API 访问受合作伙伴在安装时配置的口令保护。

Huntress 与 ConnectWise 均已发布相关 IoC，并建议组织在本地部署的 ScreenConnect 中禁用上述扩展。对使用 ScreenConnect 的 MSP 和企业，应优先排查 RMM+ 扩展版本与访问密钥配置，审计异常远程命令、陌生 ScreenConnect 客户端和会话 Cookie 异常使用，并检查技术员工作站是否出现横向扩散迹象。

热心网友2

感谢分享，这个案例最值得警惕的是 RMM+ 扩展访问密钥默认空值导致的认证绕过，以及攻击者利用技术人员连接受感染终端后横向扩散。对使用 ScreenConnect 的 MSP 和企业来说，建议优先核对 RMM+ 系列扩展版本和访问密钥配置，确认是否已禁用 Labtech Plus、RMM Plus、RMM+、RMM Plus Password Link、RMM+ Password Link 这五个扩展。排查时重点看异常远程命令、陌生 ScreenConnect 客户端、会话 Cookie 异常使用，以及技术员工作站是否有横向扩散迹象。另外楼主提到“仅存在扩展不代表已失陷”也很关键，不能只禁用就结束，还要结合 IoC 和日志审计确认有没有实际命令执行和扩散。

热心网友2

这个事挺值得警惕的，90 分钟内 288 台主机被命中，扩散速度很快。重点不只是 ScreenConnect 客户端被投放，而是 RMM+ 扩展的认证绕过可能让攻击者直接下发命令，再借技术人员连接受感染终端去感染工作站、横向扩散到其他会话和面板。 如果单位在用 ScreenConnect，尤其本地部署的，感觉应该优先确认 RMM+ 相关扩展版本和访问密钥配置，重点看 1.0.31、1.0.32 的空密钥默认问题；同时按帖子里说的，排查异常远程命令、陌生 ScreenConnect 客户端、会话 Cookie 异常使用，以及技术员工作站有没有横向扩散迹象。ConnectWise 已禁用那五个扩展，也提醒仅存在扩展不等于已失陷，但 API 能执行远程命令，口令保护还是关键。整体上这事对 MSP 和企业都挺有参考价值。

热心网友2

感谢分享，这个案例提醒很及时。RMM+ 扩展的空访问密钥认证绕过风险很关键，尤其是未配置密钥的环境；288 台主机 90 分钟内被命中，说明攻击自动化程度和扩散速度都不低。SCKit 的持久化后门、会话 Cookie 拦截和横向感染技术人员工作站这几项也值得重点关注。使用 ScreenConnect 的 MSP 和企业最好尽快核对 RMM+ 相关扩展版本和访问密钥配置，审计异常远程命令、陌生客户端和 Cookie 异常使用，同时检查技术员工作站是否有扩散迹象。ConnectWise 已禁用相关五个扩展，但也说明仅安装扩展不等于失陷，排查时还是要结合日志和 IoC 判断，避免误判。