ScreenConnect ist eine Plattform für Fernzugriff und Fernwartung, mit der MSPs und IT-Abteilungen die Geräte ihrer Kunden verwalten und Störungen beheben. Huntress zufolge begann die Kampagne gegen 17:47 Uhr UTC und zielt auf in der Cloud gehostete ScreenConnect-Instanzen. Das Security Operations Center des Unternehmens bearbeite eine aktive Kampagne, die Zahlen stiegen weiter, ConnectWise sei eingebunden und arbeite gemeinsam mit Huntress daran, teilte Huntress auf Reddit mit.

Nach Angaben der Forscher nutzen die Angreifer die Funktion „Run Command“ von ScreenConnect, um auf den verwalteten Endpunkten zusätzliche ScreenConnect-Clients zu installieren. Diese verschaffen ihnen Fernzugriff außerhalb der legitimen ScreenConnect-Umgebung des MSPs. Huntress warnt zudem vor einer möglicherweise noch gefährlicheren Technik: Baut ein Techniker des MSPs eine ScreenConnect-Sitzung zu einem infizierten Kundengerät auf, können die Angreifer offenbar dessen Arbeitsplatzrechner kompromittieren. Wie dieser umgekehrte Pivot funktioniert und ob dabei eine Software-Schwachstelle ausgenutzt oder legitime ScreenConnect-Funktionalität missbraucht wird, ist bislang unklar.

Wie die Angreifer in die MSP-Umgebungen gelangen, hat Huntress noch nicht abschließend ermittelt. Die bisherige Telemetrie deutet auf kompromittierte Zugangsdaten und gekaperte Support-Sitzungen der MSPs hin. Fortlaufend vergebene Kennungen der Angreifer legen nahe, dass weitere MSPs bereits früher kompromittiert wurden. ScreenConnect-Nutzer sollten daher ihren Run-Command-Verlauf prüfen, auch wenn sie keine Warnungen erhalten haben, so Huntress.

ConnectWise bestätigte, Berichte über bösartige Aktivitäten bei einer begrenzten Zahl von ScreenConnect-Partnern zu kennen und diese aktiv zu untersuchen. Vorsorglich empfiehlt der Hersteller:

  • keine interaktiven ScreenConnect-Sitzungen zu mutmaßlich kompromittierten Geräten öffnen und zur Untersuchung separate Sicherheitswerkzeuge verwenden
  • Kontoaktivitäten überprüfen
  • aktive Sitzungen beenden
  • Zugangsdaten von einem vertrauenswürdigen Gerät aus zurücksetzen
  • die Multifaktor-Authentifizierung überprüfen Weitere Informationen und Handlungsempfehlungen will ConnectWise über das ConnectWise Trust Center veröffentlichen.

Huntress hat folgende Indikatoren für eine Kompromittierung (IOCs) veröffentlicht:

  • Relay der Angreifer: 185.99.255[.]28 (Hostname: screen)
  • C2-Domains: newnewnew.gotdns[.]org, soxnewwork.homedns[.]org
  • Möglicher weiterer C2: cdn007-digitaldownloads[.]com
  • Sekundärer C2: sc.payproofkit[.]com (155.94.150[.]39, Hostname: WIN-FB5CKHMU4E1)
  • Stager: hxxps://ns.mo7sen[.]dev/EadF.php?p=4
  • Unautorisierte ScreenConnect-Client-IDs: 2588ef5c15954b10, ed630cc2c873b091
  • Installer-Muster: /Bin/ScreenConnect.ClientSetup.msi?…&c=Exploited<N>
  • Name des Angreifers: Addmin
  • Dateien: Panel-Lateral.ps1, runnew.cmd, ToolboxRelayUploader.exe, Run-Lateral-Full.bat

Eine der Client-IDs taucht bereits Monate früher in einem bösartigen Batch-Skript auf. Die Datei SSA-2026-STATEMENT-15518787.bat gibt sich offenbar als Bescheid der US-Sozialversicherungsbehörde Social Security Administration aus und wurde am 25. Juli 2026 erstmals bei VirusTotal hochgeladen. Das Skript versucht, Ausnahmen in Microsoft Defender einzutragen, und richtet Persistenz über den Windows-Autostartordner und den Run-Registrierungsschlüssel ein. Anschließend kontaktiert es amexsafekeyupdate.com, um Installationsbefehle für zwei Installer abzurufen. In der VirusTotal-Sandbox lud die Probe ScreenConnect-MSI-Installer von cdn007-digitaldownloads[.]com und cyberrexdesign.screenconnect[.]com herunter. Nach dem Start des zweiten Installers durchsucht das Skript per PowerShell laufende Prozesse und Windows-Dienste nach der Kennung ed630cc2c873b091. Wird sie gefunden, gilt die Installation als erfolgreich, und die Angreifer werden per Telegram benachrichtigt.

Der an die Sozialversicherung angelehnte Dateiname deutet darauf hin, dass das Skript für eine andere Verbreitungsmethode, möglicherweise Phishing, gedacht war. Ob die Aktivitäten vom Juli und die aktuellen Angriffe auf MSPs zur selben Kampagne gehören, ist offen.