Yönetilen hizmet sağlayıcılarının (MSP) müşteri bilgisayarlarına uzaktan bağlanmak için yaygın olarak kullandığı ConnectWise ScreenConnect, yeni bir saldırı dalgasının merkezinde. Güvenlik şirketi Huntress, saldırganların bulutta barındırılan ScreenConnect panellerine erişip bu paneller üzerinden 48 kuruma ait en az 288 cihaza sahte ScreenConnect istemcileri kurduğunu açıkladı. Etkinlik ilk kez 11 Kasım 2026’da, UTC ile 17.47 civarında (Türkiye saatiyle 20.47) tespit edildi.
ConnectWise ise önlem olarak iş ortaklarının ortamlarında kurulu beş üçüncü taraf eklentiyi devre dışı bıraktı. Şirket, kendi altyapısının ele geçirildiğine ya da ScreenConnect yazılımında bir açık bulunduğuna dair bir kanıt olmadığını vurguluyor.
ConnectWise ne açıkladı?
Şirketin ilk değerlendirmesine göre etkinlik, iş ortaklarının ortamlarına kurulan bağımsız üçüncü taraf eklentilerin kötüye kullanılmasıyla ilgili olabilir. ConnectWise bu değerlendirmeyi doğrulamaya devam ettiğini, ilk erişim yönteminin ve saldırının tam kapsamının hâlâ incelendiğini belirtiyor.
Önlem amacıyla kapatılan eklentiler şunlar: Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link ve RMM+ Password Link. ConnectWise, bu eklentilerden en az birinin kurulu olduğu yaklaşık 400 iş ortağı ortamı belirledi. Ancak şirket, eklentinin yalnızca kurulu olmasının bir ihlal anlamına gelmediğini de ekliyor. Bu eklentiler uzaktan komut çalıştırabilen bir API sunuyor; bu API’ye erişim ise iş ortağının kurulum sırasında belirlediği bir parolayla korunuyor. Şirket, kendi sunucularında ScreenConnect çalıştıran iş ortaklarından da bu eklentileri kapatmalarını istedi.
Saldırı solucan gibi yayılmak üzere tasarlanmış
Huntress, yeni bir güvenlik açığına dair bir iz görmediğini, ancak saldırganın panellere nasıl eriştiğinin hâlâ belirsiz olduğunu söylüyor. Mevcut veriler, ele geçirilmiş kimlik bilgilerine ya da çalınmış operatör oturumlarına işaret ediyor. Araştırmacılara göre saldırı iki aşamalı ve solucan benzeri bir yapıda ilerliyor:
- İlk erişim: Saldırgan, ele geçirdiği panelin “Run Command” (komut çalıştır) özelliğiyle uç noktalara sahte bir ScreenConnect istemcisi kuruyor. Bu istemci, asıl panelden bağımsız çalışan kalıcı bir arka kapı işlevi görüyor.
- Yanal hareket: Bir teknisyen enfekte cihaza ScreenConnect ile bağlandığında, zararlı yazılım teknisyenin bilgisayarına sıçrayabiliyor, tarayıcıda kayıtlı oturumları ve kimlik doğrulama belirteçlerini çalabiliyor ve teknisyenin erişebildiği diğer panellere geçebiliyor.
Sahte istemciler, Huntress’in SCKit adını verdiği özel bir zararlı araç seti taşıyor. SCKit kalıcı uzaktan erişim sağlıyor ve oturum çerezlerini yakalamak için bir tuzak kuruyor. Araç setinin diğer bileşenleri Microsoft Defender’a istisnalar ekliyor, saldırganın kontrolündeki ikinci bir ScreenConnect istemcisini kuruyor, “TrapWatch” adlı zamanlanmış bir görev oluşturuyor ve meşru ScreenConnect kurulumunu saldırganın kopyasıyla değiştiriyor.
Teknisyen bilgisayarından tüm müşterilere
Huntress, betikleri ve yapılandırma dosyalarını inceleyerek saldırının bir sonraki adımını da ortaya çıkardı. Buna göre zararlı yazılım, teknisyen bilgisayarından ScreenConnect paneline ait oturum çerezini çalıp panele yeniden göndermeye ve teknisyenin erişebildiği diğer oturumları listelemeye çalışıyor. Ardından panelin paylaşılan araç kutusuna bir yük yükleyip ulaşılabilen tüm oturumlara bu yükü SYSTEM yetkisiyle çalıştırma komutu gönderiyor. Yaklaşık 60 saniye sonra araç kutusundaki öğe siliniyor.
Araştırmacılar bu noktaya bir not da düşüyor: Şimdiye kadar enfekte bir cihazdan teknisyen bilgisayarına ya da oradan başka uç noktalara başarılı bir sıçrama gözlemlenmedi. Bu işlevler, gerçek olaylarda görülmekten çok, yüklerin analiziyle tespit edildi.
Betiklerden biri yapay zekâyla yazılmış olabilir
Huntress’in dikkat çektiği bir başka ayrıntı, betiklerden en az birinin büyük bir dil modeli tarafından üretilmiş olabileceği. Araştırmacılar bu kanıya, betikteki ayrıntılı kaynak kod atıflarına ve işlevi adım adım açıklayan yorum satırlarına bakarak vardı. Bu, saldırganların zararlı araçlarını hızla hazırlamak için yapay zekâ araçlarına başvurduğu örneklerin giderek çoğaldığını gösteriyor.
Endişe verici bir başka nokta da saldırganın ele geçirdiği her MSP’yi sıralı bir numarayla etiketlemesi. Huntress’in gördüğü etiketler dizinin ortasından başlıyor; bu da daha önce başka MSP’lerin de ele geçirilmiş olabileceğine işaret ediyor. Sophos da aynı yöntemle yapılan yetkisiz ScreenConnect istemci kurulumları gözlemlediğini ayrı bir uyarıyla duyurdu.
ScreenConnect kullananlar ne yapmalı?
- Uyarı almamış olsanız bile panelinizdeki Run Command geçmişini kontrol edin.
- Listelenen eklentiler kuruluysa kapatın; kendi sunucunuzda ScreenConnect çalıştırıyorsanız bu adımı elle atın.
- Olağan dışı oturum açmaları, tanımadığınız konumları, art arda başarısız girişleri ve beklenmeyen çok faktörlü doğrulama isteklerini izleyin.
- Yeni yönetici hesaplarını, yetki değişikliklerini, beklenmeyen eklenti kurulumlarını ve araç kutusu etkinliklerini gözden geçirin.
- Müşteri cihazlarında ve teknisyen bilgisayarlarında onaylanmamış uzaktan erişim yazılımlarını arayın; şüpheli kayıtları silmeden saklayın.
Uzaktan destek araçları, tek bir panelden yüzlerce müşteriye ulaşabildiği için saldırganların gözdesi olmaya devam ediyor. Bu olay, MSP’ler için güçlü kimlik doğrulamanın, oturum güvenliğinin ve üçüncü taraf eklentilerin düzenli denetiminin ne kadar kritik olduğunu bir kez daha gösteriyor. Soruşturma sürüyor ve ayrıntılar netleştikçe tablo değişebilir.
Kaynak: The Hacker News (ConnectWise, Huntress ve Sophos açıklamaları)
