Bei CVE-2026-84869 handelt es sich um eine Kombination aus fehlerhafter Rechteverwaltung und fehlender Autorisierung. Über eine aktive Fernsitzung kann ein Angreifer damit ohne Berechtigung und ohne Bestätigung auf dem Host Dateien übertragen und ausführen. Nach Angaben von Blackpoint Cyber verhindert ein vollständig gepatchter ScreenConnect-Client, dass die Schadfunktion des Exploits ausgeführt wird. „Unsere Tests haben bestätigt, dass der Exploit auf CVE-2026-84869 abzielt und der vorhandene Patch ihn wirksam blockiert“, erklärten die APG-Forscher Sam Decker und Nevan Beal. Das sei eine wichtige Erkenntnis für Sicherheitsteams.

„Das Toolkit kann aber auch authentifizierte Bedienersitzungen übernehmen und legitime Verwaltungsfunktionen von ScreenConnect nutzen, um Schadcode zu verteilen“, so die Forscher weiter. „Das Patchen beseitigt den bekannten Exploit, nicht aber die Risiken einer kompromittierten Bedienersitzung.“

Ablauf des Angriffs

Die Angreifer führen ihre Befehle über die eingebaute Funktion Run Command der Plattform aus. Zunächst prüfen sie, ob ScreenConnect bereits installiert ist. Anschließend laden sie ein von ihnen kontrolliertes MSI-Installationspaket („sc.msi“) herunter und starten es. Dieses legt ein Batch-Skript als Dropper ab („sckit-run.bat“), das die Domain „ns.mo7sen[.]dev“ kontaktiert, einen PowerShell-Decoder („sckit-decoder.ps1“) nachlädt und schließlich die einzelnen Komponenten von SCKit installiert. Dazu gehören:

  • das PowerShell-Skript „SilentForceInstall-WithUninstall.ps1“, das zwei nicht autorisierte ScreenConnect-Access-Clients einrichtet und so dauerhaften Fernzugriff sichert,
  • mehrere Skripte und C#-Code, die bestehende ScreenConnect-Guest-Sitzungen stören, darunter die Komponente RelayTrap.

„Da die Befehle über vorhandene ScreenConnect-Agenten ausgeführt wurden, konnten die Angreifer zusätzliche Software im Kontext NT AUTHORITY\SYSTEM installieren, ohne auf jedem Rechner eine eigene Ausführungsmethode etablieren zu müssen“, erklärte Blackpoint Cyber.

RelayTrap: Gegenangriff auf den Techniker

RelayTrap ist darauf ausgelegt, umgekehrt die Arbeitsplätze jener Techniker zu infizieren, die verdächtige Aktivitäten auf einem verwalteten Endpunkt untersuchen wollen. Die Komponente ersetzt dazu den legitimen ScreenConnect Guest und versucht mit einer zu CVE-2026-84869 gehörenden Technik, Dateien vom Gast auf den Host zu übertragen und auszuführen: Die SCKit-Schadsoftware wird an den sich verbindenden Techniker zurückgeschickt.

„Die nicht autorisierten Access-Clients verschaffen den Angreifern dauerhafte Kontrolle über den Endpunkt, während die RelayTrap-Komponenten die Schadsoftware in die Lage versetzen, legitime Supportverbindungen abzufangen“, so Blackpoint Cyber. „Statt Administratoren lediglich den Zugriff auf einen infizierten Rechner zu verwehren, versucht das Toolkit, deren nächste Verbindung zu nutzen, um das Eindringen direkt auf den Arbeitsplatz des Technikers auszuweiten.“

Gelingt das, wechselt die Schadsoftware vom Manipulieren der Fernwartung zum Sitzungsdiebstahl. Sie durchsucht die lokalen Browserdaten und den Prozessspeicher nach einer bestehenden authentifizierten Verwaltungssitzung, etwa nach .ASPXAUTH-Cookies. Mit den vorhandenen Verwaltungsrechten des Technikers lassen sich dann Befehle an weitere Endpunkte verteilen, auf die er Zugriff hat – ohne deren Zugangsdaten zu kennen. So können Angreifer das ursprünglich kompromittierte System verlassen und über dieselbe Infrastruktur, mit der die Kunden betreut werden, in andere Kundenumgebungen vordringen.

Techniker sind ein lohnendes Ziel, weil sie sich regelmäßig mit verwalteten Endpunkten verschiedener Kunden verbinden – meist von Arbeitsplätzen mit Zugriff auf Administrationswerkzeuge und authentifizierte Verwaltungssitzungen. „Indem SCKit zuerst versucht, den Arbeitsplatz eines Technikers zu kompromittieren und dann dessen authentifizierte ScreenConnect-Sitzung zu erbeuten, will es den Zugriff auf einen einzelnen verwalteten Endpunkt in eine Gelegenheit verwandeln, weitere Systeme unter der Kontrolle dieses Technikers zu erreichen“, erklärten die Forscher.

Bislang gibt es allerdings keine Hinweise darauf, dass sich die Schadsoftware erfolgreich auf einen Techniker-Arbeitsplatz ausgebreitet oder den Patch für CVE-2026-84869 umgangen hat.

Lücke bereits zuvor ausgenutzt

CVE-2026-84869 wurde schon früher in Angriffen missbraucht: Angreifer verteilten über ScreenConnect eine vierstufige VBScript-Schadsoftware an neu verbundene Systeme und installierten letztlich den Kryptominer XMRig. Die US-Behörde CISA nahm die Lücke am 11. September 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) auf und verpflichtete Bundesbehörden, die Korrekturen bis zum 14. September 2026 einzuspielen.

Unklarer Erstzugriff und Erweiterungen von Drittanbietern

Obwohl das Toolkit CVE-2026-84869 ausnutzen kann, deutet nichts darauf hin, dass ein ungepatchter ScreenConnect-Client der erste Einstiegspunkt war. „Derzeit scheint der Erstzugriff mit bösartigen ScreenConnect-Erweiterungen zusammenzuhängen, wofür uns aber keine ausreichenden Belege vorliegen“, sagte Nevan Beal, Principal MDR Analyst bei Blackpoint. „Um den Ursprung der Infektion zu ermitteln, wären weitere forensische Spuren aus betroffenen Umgebungen nötig. Auch wenn der 11. November die früheste öffentlich gemeldete Aktivität markiert, können wir ohne weitere Untersuchungen frühere Kompromittierungen nicht ausschließen. Unsere Ergebnisse bestätigen die Fähigkeiten des Toolkits, belegen aber nicht, wann oder wie die Erstkompromittierung erfolgte.“

ConnectWise hat vorsorglich fünf Erweiterungen von Drittanbietern in Partnerumgebungen deaktiviert. Blackpoint Cyber fand jedoch keine technische Verbindung zwischen diesen Erweiterungen und SCKit. Ein Sprecher von ConnectWise erklärte, das Unternehmen wisse von Berichten über bösartige Aktivitäten, die eine begrenzte Zahl von ScreenConnect-Partnern betreffen, und untersuche den Vorfall. „Auch wenn die Methode des Erstzugriffs noch nicht bestätigt ist, deutet unsere erste Einschätzung darauf hin, dass ein Angreifer unabhängige Drittanbieter-Erweiterungen in Partnerumgebungen missbraucht haben könnte“, sagte der Sprecher. „Wo wir handeln können, haben wir die identifizierten Erweiterungen vorsorglich deaktiviert, und wir raten Partnern mit On-Premises-Installationen, sie umgehend zu deaktivieren. Das bloße Vorhandensein dieser Erweiterungen belegt keine Kompromittierung.“ Partner sollen die Vorsichtshinweise im ConnectWise Trust Center prüfen, wo das Unternehmen Neuigkeiten veröffentlichen will, sobald Informationen bestätigt sind.

Authentifizierungsfehler in RMM+

Huntress hat eine schwerwiegende Authentifizierungslücke in den Versionen 1.0.31 und 1.0.32 von RMM+ entdeckt, einer der fünf von ConnectWise gesperrten Erweiterungen. RMM+ ermöglicht es einem anderen Werkzeug, ScreenConnect-Sitzungen zu verwalten, ohne dass ein Techniker über die Konsole arbeitet. Anfragen werden mit einem gemeinsamen Zugriffsschlüssel („RMMPlus.AccessKey“) aus den Einstellungen der Erweiterung authentifiziert, der in den genannten Versionen standardmäßig leer ist. „Hatte ein Administrator keinen Zugriffsschlüssel konfiguriert, akzeptierte die Erweiterung einen leeren Schlüssel, sodass möglicherweise unbefugte Befehle ohne die üblichen Authentifizierungskontrollen von ScreenConnect ausgeführt werden konnten“, erklärte Huntress.

Da RMM+ unabhängig von den regulären Benutzerkonten, Rollen und Authentifizierungskontrollen von ScreenConnect arbeitet, könnte ein Angreifer Befehle auf Geräten ausführen, ohne eine Multi-Faktor-Authentifizierung überwinden zu müssen. „Befehle erreichten innerhalb von Minuten Endpunkte in mehreren ScreenConnect-Instanzen. Es gab keine entsprechenden Anmeldeaktivitäten, und die Befehle erschienen in den ausgewerteten Logs in Verbindung mit RMM+“, so Huntress.

Empfehlungen von Blackpoint Cyber

Blackpoint Cyber rät, ScreenConnect-Clients zu patchen und Bedienersitzungen besser abzusichern, etwa durch strengere Sitzungsprüfung und zusätzliche Authentifizierung bei administrativen Massenaktionen. „Organisationen müssen diese Sitzungen schützen und folgenreiche administrative Aktionen zusätzlich absichern“, so die Forscher. „Für MSPs lautet die praktische Lehre, die Verwaltungsbeziehung zu untersuchen, nicht nur den Endpunkt. Unbefugte Access-Installationen, der Verlauf administrativer Befehle, Techniker-Arbeitsplätze und Browsersitzungen verdienen Aufmerksamkeit – besonders wenn sich Supportmitarbeiter bereits mit einem verdächtigen System verbunden haben.“