Cảnh báo chiến dịch tấn công nhắm vào ConnectWise ScreenConnect qua bộ công cụ SCKit

• Phạm vi tấn công: Hơn 288 thiết bị tại 48 tổ chức đã bị xâm nhập trong vòng 90 phút thông qua các bảng điều khiển ScreenConnect bị chiếm quyền.
• Cơ chế lây nhiễm: Kẻ tấn công sử dụng tính năng 'Run Command' để thực thi mã độc SCKit với đặc quyền SYSTEM, đồng thời cài đặt các backdoor tinh vi.
• Mối đe dọa tiềm tàng: Bộ công cụ SCKit bao gồm các thành phần như RelayTrap, có khả năng đánh cắp cookie phiên làm việc của kỹ thuật viên để leo thang tấn công.
• Khuyến nghị: Ngay lập tức kiểm tra lịch sử lệnh, vô hiệu hóa các extension không xác định và cô lập các máy chủ bị ảnh hưởng.

Các nhà nghiên cứu bảo mật vừa phát hiện một chiến dịch tấn công mạng quy mô lớn nhắm vào các bảng điều khiển ScreenConnect được lưu trữ trên nền tảng đám mây. Theo báo cáo, kẻ tấn công đã lợi dụng quyền truy cập để triển khai một bộ công cụ tùy chỉnh có tên là SCKit lên ít nhất 288 thiết bị được quản lý tại 48 tổ chức khác nhau. Hoạt động này được ghi nhận lần đầu vào ngày 11 tháng 11 năm 2026, với tốc độ lây nhiễm cực nhanh, đạt khoảng một phần ba tổng số nạn nhân chỉ trong 10 phút đầu tiên.

Phân tích kỹ thuật chuỗi tấn công

Kẻ tấn công đã tận dụng tính năng 'Run command' trong bảng điều khiển ScreenConnect để gửi các lệnh thực thi từ xa đến nhiều endpoint cùng lúc. Các lệnh này được chạy với đặc quyền SYSTEM, cấp độ cao nhất trên hệ điều hành Windows, cho phép kẻ tấn công toàn quyền kiểm soát hệ thống. Quy trình lây nhiễm diễn ra theo các bước sau:

• Kiểm tra môi trường: Script thực thi kiểm tra sự tồn tại của client ScreenConnect hiện có.
• Tải xuống mã độc: Tải một trình cài đặt giả mạo xuống đường dẫn C:\Windows\TEMP\sc.msi và thực hiện cài đặt âm thầm.
• Thiết lập backdoor: Cài đặt một client ScreenConnect thứ hai và tạo công cụ RelayTrap tại C:\ProgramData\RelayTrap.
• Né tránh phòng thủ: Thêm các loại trừ (exclusions) vào Microsoft Defender và thiết lập tác vụ định kỳ TrapWatch để thay thế client hợp lệ bằng bản sao của kẻ tấn công.

Đáng chú ý, các nhà nghiên cứu nhận định rằng mã nguồn C# của RelayTrap có dấu hiệu được tạo ra bởi các mô hình trí tuệ nhân tạo (AI), cho thấy sự tinh vi trong việc phát triển công cụ tấn công.

Bảng tổng hợp các chỉ số IOCs

Mục tiêu nhắm vào kỹ thuật viên

Ngoài việc kiểm soát thiết bị, bộ công cụ SCKit còn chứa mã được thiết kế để chờ đợi kỹ thuật viên kết nối vào thiết bị bị nhiễm. Khi kết nối xảy ra, mã độc sẽ trích xuất trình thả (dropper) lên máy trạm của kỹ thuật viên và đánh cắp cookie phiên làm việc .aspxauth. Mục tiêu cuối cùng là sử dụng cookie này để truy cập vào các phiên làm việc khác mà kỹ thuật viên có quyền, từ đó tải payload lên 'Shared Toolbox' của bảng điều khiển.

⚠️ Cảnh báo quan trọng: Không kết nối vào các máy chủ hoặc thiết bị nghi ngờ bị nhiễm qua ScreenConnect. Phiên làm việc này có thể trở thành cầu nối để mã độc lây lan ngược lại máy trạm của quản trị viên. Hãy sử dụng các phương thức thay thế như EDR live response hoặc WinRM.

Khuyến nghị phòng thủ và khắc phục

ConnectWise đã xác định năm extension bên thứ ba có thể liên quan đến hoạt động này, bao gồm: Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link, và RMM+ Password Link. Các tổ chức cần thực hiện ngay các bước sau:

• Vô hiệu hóa extension: Tắt ngay các extension nêu trên trong môi trường quản trị.
• Dọn dẹp hệ thống: Loại bỏ client giả mạo, xóa tác vụ TrapWatch, thư mục RelayTrap và khóa Registry RelayTrapLiteAlert.
• Kiểm tra lịch sử: Rà soát kỹ lịch sử 'Run Command' và 'Toolbox' để tìm kiếm các công việc bất thường.
• Xoay vòng thông tin xác thực: Thu hồi toàn bộ các phiên làm việc web hiện tại và thay đổi mật khẩu từ một thiết bị đã được xác thực sạch.

Việc tuân thủ các quy trình bảo mật nghiêm ngặt và cập nhật các bản vá lỗi, đặc biệt là đối với các lỗ hổng nghiêm trọng như CVE-2026-84869 (đạt điểm 9.9 trên thang đo CVSS), là yếu tố then chốt để ngăn chặn các cuộc tấn công tương tự trong tương lai.