SCKit: תוכנה זדונית דמוית תולעת מכוונת נגד MSPs בהתקפות ScreenConnect

BleepingComputer מדווח כי SCKit נפרסה בהתקפות ScreenConnect האחרונות נגד ספקי שירותים מנוהלים (MSPs). ערכת הכלים נועדה להתפשט ממכשירי לקוחות נגועים אל מחשבי הטכנאים של ה־MSP, ומשם לפגוע ברשתות מנוהלות נוספות. היא מנסה לנצל את CVE-2026-84869, פגיעות בהעברת קבצים בצד הלקוח של ScreenConnect שתוקנה בעבר, אך Blackpoint Cyber אישרה שהניצול נכשל בבדיקה מול לקוח ScreenConnect מתוקן, ו־Huntress ו־Blackpoint Cyber לא הבחינו בניצול מוצלח במהלך ההתקפות.

Huntress דיווחה בדוח מעודכן כי ההתקפות פגעו לפחות ב־288 נקודות קצה ב־48 ארגונים, והיא מעריכה כי הגישה הראשונית הייתה דרך RMM+, הרחבה של צד שלישי ל־ScreenConnect. גרסאות 1.0.31 ו־1.0.32 הכילו פגם באימות שיכול היה לאפשר הרצת פקודות כשלא הוגדר מפתח גישה. ConnectWise השביתה חמש הרחבות של צד שלישי שעשויות להיות קשורות, בכ־400 סביבות של שותפים, ואמרה שנוכחותן אינה אומרת שהסביבות הללו נפגעו.

לפי החוקרים, SCKit היא אוסף של 16 סקריפטים ורכיבים שמקימים גישה מרחוק עמידה ומנסים לגנוב עוגיות אימות של ScreenConnect מהדפדפנים של הטכנאים. Huntress ציינה גם כי נראה שהרכיב RelayTrap נוצר באמצעות מודל שפה גדול. מומלץ ל־MSPs להשבית את ההרחבות המושפעות, לעדכן את לקוחות ScreenConnect ולבדוק פעילות של Run Command ו־Toolbox בחיפוש אחר סימני פגיעה.

למה זה חשוב עבור MSPs, העיצוב דמוי התולעת משמעו שנקודת קצה פגועה של לקוח עלולה להגיע לתחנת העבודה של טכנאי ולהרשאות ScreenConnect הקיימות שלו, ולהרחיב חדירה על פני ארגוני לקוחות. הניתוח שלנו הוא שהכישלון המדווח של הניצול והיעדר התפשטות שנצפתה מפחיתים את הסיכון המיידי, אך טכניקות העוגיות הגנובות וניצול חוזר של הפעלות הופכות את בדיקת ההרחבות, פעילות Run Command והפעלות הטכנאים לעדיפות עבור חוקרים.