ScreenConnect RMM+ eklentisindeki boş varsayılan anahtar saldırganların 288 uç noktaya ulaşmasını sağladı

Sahte uzaktan erişim istemcileri hızla dağıtıldı

11 Kasım 2026'da saat 17:47 UTC'de bilinmeyen operatörler, yönetilen servis sağlayıcılarına (MSP) ait bulutta barındırılan ScreenConnect panelleri üzerinden komutlar yayınlamaya başladı. Kampanyayı tespit edip analiz eden Huntress araştırmacılarına göre, en az 48 kuruluştaki 288 uç nokta 90 dakika içinde saldırgan kontrollü uzaktan erişim istemcileri aldı ve bu makinelerin kabaca üçte biri ilk on dakikada vuruldu. ScreenConnect'in satıcısı ConnectWise, aynı gün saat 22:45 UTC'de yayınladığı tavsiyede üçüncü taraf beş ScreenConnect eklentisini bu faaliyetle ilişkili olabilecek şekilde belirledi ve önlem olarak yaklaşık 400 iş ortağı ortamında bunları devre dışı bıraktı. Şirket, eklentilerden birinin kurulu olmasının tek başına ihlal kanıtı olmadığını vurguladı.

Giriş noktası boş bir ayardı

Huntress'un güncellenmiş analizi faaliyeti beş eklentiden birine bağlıyor: teknik personelin konsol başında olmadan harici araçların ScreenConnect oturumlarını yönetmesine olanak tanımak için geliştirilmiş RMM+ adlı eklenti. Bunu yapmak için ScreenConnect'in kendi kullanıcı hesaplarını, rollerini ve çok faktörlü kimlik doğrulamasını atlıyor ve bunun yerine çağıran tarafı ayarlarında saklanan paylaşılan bir erişim anahtarıyla doğruluyor. 1.0.31 ve 1.0.32 sürümlerinde bu anahtarın varsayılanı boştu ve kimlik doğrulama kodu boş bir değeri kabul ediyordu; dolayısıyla hiçbir kimlik bilgisi sunmayan bir çağıran bile geçebiliyordu — üstelik ayarın kendi açıklaması yöneticileri güçlü bir anahtar yapılandırmaya çağırıyordu. Huntress, gözlemlerin bu yolla uyumlu olduğuna dikkat çekiyor: komutlar dakikalar içinde karşılık gelen hiçbir oturum açma olmadan birden çok ScreenConnect örneğindeki uç noktalara ulaştı ve yürütmeler RMM+ ile ilişkili günlüklerde görünüyor. Bu ne bellek bozulması ne de oltalarma yemi idi; ayarlanmamış bir yapılandırma varsayılanıydı ve ScreenConnect'in çekirdek kodunda değil, bir eklentide yaşıyordu.

Uç noktada SCKit ve RelayTrap

Dağıtılan yük, SCKit adı verilen on altı dosyalık bir PowerShell, batch script ve yapılandırma verisi paketi, her kurban makineye özgün hale getirilmiş durumda: bulaşmış makine Windows makine GUID'ini istek URL'sinde gönderiyor, sunucu da yanıt başlıklarında şifre çözme anahtarını, başlangıç vektörünü ve salt değerini döndürüyor. Bu nedenle her kopya farklı gömülü değerlerle yeniden oluşturuluyor ve Huntress, tuzak çalıştırılabilir dosyası her makinede ayrı ayrı derlendiği için dosya karmalarının burada zayıf bir gösterge olduğunu uyarıyor.

Makinede sıra, sahte bir yükleyiciyi C:\Windows\TEMP\sc.msi konumuna indiriyor, araç takımını C:\ProgramData\RelayTrap klasörüne açıyor, Microsoft Defender hariç tutmaları ekliyor ve ikinci, saldırgan kontrollü bir ScreenConnect istemcisi kuruyor. SYSTEM olarak çalışan TrapWatch adlı bir script, RelayTrap adlı bir C# bileşenini makineye özgü bir çalıştırılabilir dosyaya derliyor ve zamanlanmış bir görev kaydediyor. Ardından meşru ScreenConnect istemcisi durdurulup manuel başlatmaya ayarlanırken saldırganın kopyası aktarıcı (relay) bağlantısını devralıyor, böylece makine sıradan bir ScreenConnect çalıştırıyormuş gibi görünmeye devam ediyor. Huntress ayrıca RelayTrap kaynak kodunun alışılmadık derecede ayrıntılı açıklayıcı yorumlar taşıdığına, araştırmacıların da bunun büyük bir dil modeliyle üretilmiş olabileceğine işaret ettiğini belirtiyor.

Tasarımda solucan, uygulamada değil

SCKit yayılmak için tasarlanmıştı. Bir teknisyen bulaşmış bir makineye bağlandıktan iki buçuk saniye sonra tuzak, teknisyenin makinesine bir dropper itiyor. Ardından bir script teknisyenin .aspxauth oturum çerezini çalıyor ve erişebildiği her oturumu listelemek için panelde bunu yeniden oynamayı deniyor; başka bir bileşen panele Shared Toolbox içine bir yük yerleştiriyor, erişilebilir her oturumu bunu SYSTEM olarak çalıştırmaya tetikliyor ve izlerini silmek için öğeyi yaklaşık bir dakika sonra siliyor. Araç takımı, saldırganın kendi panelini bulaştırmaktan kaçınmak için bir atlama listesi bile tutuyor. Ancak Huntress, bu yatay hareketlerden herhangi birinin başarılı olduğuna dair bir kanıt bulamadı: konsol ele geçirme girişimi kurtarılan her makine günlüğünde başarısız oldu ve fiilen yayılan şey panel tarafındaki komut istismarıydı. Savunma önerisi tasarımın kendisinden kaynaklanıyor. Şüpheli bir makineyi ScreenConnect üzerinden incelemeyin; etkileşimli bir oturum tam olarak tuzağın beklediği şeydir. EDR canlı yanıt (live response) veya WinRM gibi bant dışı bir kanal kullanın ve bağlanan her teknisyen iş istasyonunu maruz kalmış olarak değerlendirin.

Bulaşmış bir makineyi yalıtmak neden yeterli değil

Huntress, makinenin yalıtılmasının kalıcılığı ortadan kaldırmadığı için ağ yalıtımı kaldırıldıktan kısa süre sonra sistemlerin yeniden bulaştığını gözlemledi. Temizlik, sahte istemci servisinin, TrapWatch zamanlanmış görevinin, RelayTrap dizininin, %TEMP% içindeki araç takımı dosyalarının ve RelayTrapLiteAlert adlı bir Run anahtarı değerinin silinmesini, ardından makinenin temiz kaldığının doğrulanmasını gerektiriyor. Araç takımı tarayıcı çerez veritabanlarını okumak için sqlite3 içerdiğinden, potansiyel olarak maruz kalmış tarayıcı ve kimlik sağlayıcısı oturumları iptal edilmeli, ScreenConnect kimlik bilgileri temiz bir cihazdan döndürülmalıdır. Son olarak, Run Command ve Toolbox geçmişinin panel denetimleri, kimsenin başlatmadığı yürütmeleri ortaya çıkaracaktır.

Neden önemli

Olay, BleepingComputer ve Huntress'ın 2026'nın başlarında belgelediği bir örüntüyü genişletiyor: Eylül'de Huntress, sahte ScreenConnect istemcileri üreten benzer solucan benzeri faaliyete müdahale etmiş, ConnectWise da 9.9 puanla derecelendirilmiş kritik bir dosya aktarımı açığı olan CVE-2026-84869'yı yamalamıştı. Kasım ayı daha keskin bir ders ekliyor. Meşru şekilde kurulmuş bir eklenti, platformun hesaplarını ve MFA'sını atlatırken platformun güvenini miras aldı ve anonim bir çağıran ile yüzlerce uç noktanın kontrolü arasındaki tek ayar boş gönderildi. Bu tür bir yönetim düzlemi erişimi, tek bir yanlış yapılandırmayı dakikalar içinde çok kuruluşlu bir olaya dönüştürüyor ve arkasındaki araçların giderek artan biçimde yapay zeka desteğiyle hazırlanıyor gibi göründüğü anlaşılıyor.