利用ScreenConnect RMM+扩展缺陷的MSP攻击：288台终端被植入SCKit恶意工具包
先了解这件事
安全公司 Huntress 发现一起针对托管服务提供商（MSP）的攻击：攻击者利用对云端托管 ScreenConnect 面板的未授权访问，通过 Run Command 功能在客户终端上安装恶意 ScreenConnect 客户端。据 Huntress 称，至少 6 家 MSP 的 48 个组织共 288 台终端受影响，全部主机在 90 分钟内被攻陷（约三分之一系统在 10 分钟内受影响），受害数量可能继续上升。后续报道称，攻击者可能利用了 RMM+ 扩展 1.0.31 和 1.0.32 版本中的缺陷——访问密钥未配置时默认为空，可用空值绕过认证；恶意负载为包含 16 个文件的 SCKit 工具包，设计用于从受感染客户设备扩散到 MSP 技术人员的计算机，但研究人员称尚未观察到该传播环节被成功利用。 作为回应，ConnectWise 在约 400 个 ScreenConnect 环境中远程禁用了五个 RMM+ 系列扩展（包括 Labtech Plus、RMM+、RMM Plus Password Link 等），并称暂无证据表明 ScreenConnect 软件或其基础设施本身被攻破；这约 400 个环境是因安装了相关扩展而被识别，并非均已被入侵。Huntress 表示未发现新漏洞的证据，但攻击者获取面板访问的方式仍在调查中。Blackpoint Cyber 分析称，SCKit 利用的是已修补的 CVE-2026-84869（CVSS 9.9），经测试完整修补的客户端可阻止其载荷执行，且尚未发现成功传播到技术人员工作站或绕过补丁的证据。攻击者留下的顺序标签从中段开始，表明可能还有其他 MSP 更早被入侵，ScreenConnect 用户即使未收到警报也应检查 Run Command 历史。 两家公司均已发布入侵指标（IoC），建议用户禁用本地部署中的相关扩展；ConnectWise 还建议合作伙伴避免对疑似被入侵设备开启交互式 ScreenConnect 会话、改用独立安全工具排查，并检查账户活动、撤销活跃会话、从可信设备重置凭据并核实多因素认证。
AI 根据报道生成 · 2 小时前更新
事件进展
3 个进展
- 11月12日 21:08 · 2 篇报道Blackpoint披露SCKit攻击ScreenConnect细节The Hacker News：SCKit 恶意软件针对 ScreenConnect，利用会话劫持威胁 MSP 技术员
- 11月12日 21:02 · 1 篇报道RMM+扩展漏洞被利用传播恶意软件，ConnectWise禁用相关插件The Register：攻击者利用 ScreenConnect 第三方扩展 RMM+ 缺陷在 48 家组织的 288 台终端部署恶意软件
- 11月12日 06:56 · 3 篇报道Huntress发现利用ScreenConnect攻击MSP的恶意活动The Hacker News：ScreenConnect 遭蠕虫式攻击，至少 48 家组织的 288 个终端被植入恶意客户端
报道时间线
沿着报道，了解事件的不同侧面。
- BleepingComputerSCKit 蠕虫式恶意工具包针对 MSP 的 ScreenConnect 攻击细节披露
Huntress 与 Blackpoint Cyber 分析了 ScreenConnect 攻击中新出现的蠕虫式恶意工具包 SCKit。攻击者疑似通过 ScreenConnect 扩展 RMM+ 1.0.31/1.0.32 的空访问键认证缺陷获取初始访问，已在 48 个组织的至少 288 个端点植入恶意远程访问客户端，三分之一系统在 10 分钟内受影响。
- The Hacker NewsSCKit 恶意软件针对 ScreenConnect，利用会话劫持威胁 MSP 技术员
Blackpoint Cyber 分析针对 ConnectWise ScreenConnect 部署的 SCKit 恶意软件攻击活动，确认其利用的是已修补的 CVE-2026-84869（CVSS 9.9），完整修补的客户端可阻止其载荷执行。
- The Register精选攻击者利用 ScreenConnect 第三方扩展 RMM+ 缺陷在 48 家组织的 288 台终端部署恶意软件
攻击者利用 ScreenConnect 第三方扩展 RMM+（1.0.31 与 1.0.32 版本在未配置访问密钥时接受空白密钥）的认证弱点，在 90 分钟内向 48 家组织的至少 288 台机器部署 16 文件的 SCKit 恶意工具包，维持远程访问并试图传染 IT 技术人员。
- SecurityWeekHuntress 披露 ScreenConnect 新一轮攻击：RMM+ 扩展认证缺陷致 288 台主机沦陷
Huntress 报告一起针对 ConnectWise ScreenConnect 客户的攻击：11 月 11 日攻击者滥用对云端托管的 ScreenConnect 面板的未授权访问，在至少 6 家 MSP 的 48 个组织共 288 台主机上执行命令，全部主机在 90 分钟内被攻陷。
- The Hacker News精选ScreenConnect 遭蠕虫式攻击，至少 48 家组织的 288 个终端被植入恶意客户端
ConnectWise 作为预防措施禁用了合作伙伴环境中的五个第三方扩展，称暂无证据表明 ScreenConnect 软件或其基础设施被攻破，初始访问方式仍在调查。
- BleepingComputer精选针对 MSP 的 ScreenConnect 攻击波及数十家组织，ConnectWise 调查中
ConnectWise 正在调查一起针对托管服务提供商（MSP）的活跃恶意活动：攻击者利用被入侵的 ScreenConnect 环境，通过 Run Command 功能向客户设备部署 rogue 远程访问客户端。
本事件热度走势
- 可比范围当前
- 30
- 可比范围峰值
- 3511月12日 22:00
- 近 24 小时变化
- +221%
趋势仅比较持续完整观测到的相同主体，范围可能小于当前热度统计。移动指针或点击图表查看每小时热度；键盘可用左右方向键切换。