ScreenConnect üzerinden MSP'lere saldırı: ConnectWise beş üçüncü taraf eklentiyi kapattı

Uzaktan destek yazılımı ScreenConnect’i kullanan yönetilen hizmet sağlayıcılar (MSP), 11 Kasım’da başlayan bir saldırı dalgasının hedefi oldu. Saldırganlar ele geçirdikleri ScreenConnect ortamları üzerinden MSP’lerin müşterilerine ait cihazlara, kendi denetimlerindeki sahte ScreenConnect istemcilerini kuruyor. ScreenConnect’in geliştiricisi ConnectWise olayı araştırıyor ve iş ortaklarına yönelik bir güvenlik duyurusu yayımladı.

Huntress’in tespitleri

BleepingComputer’ın aktardığına göre saldırıları ilk olarak güvenlik şirketi Huntress fark etti. Huntress, Reddit’teki paylaşımında saldırıların 11 Kasım’da 17.47 UTC (Türkiye saatiyle 20.47) dolaylarında başladığını ve bulutta barındırılan ScreenConnect ortamlarını hedef aldığını yazdı. Şirket, BleepingComputer’ın haberine göre altı MSP’nin ele geçirildiğini, 47 kuruluşta 286 uç noktanın etkilendiğini ve bu sayıların arttığını belirtiyor.

Huntress’e göre saldırganlar ScreenConnect’in Run Command özelliğini kullanarak yönetilen cihazlara sahte ScreenConnect istemcileri kuruyor ve böylece MSP’nin kendi ortamının dışında bir uzaktan erişim elde ediyor. Araştırmacılar, bir teknisyen ele geçirilmiş bir müşteri cihazına ScreenConnect oturumu açtığında teknisyenin kendi bilgisayarının da ele geçirilebildiği konusunda uyarıyor. Sonradan yayımlanan analizlere göre saldırganların araç seti bunun için eski ScreenConnect istemcilerindeki bir açığı kullanmaya çalışıyor. Ayrıntılar 13 Kasım tarihli güncelleme notunda.

Huntress’ten Spike Brandt, BleepingComputer’a yaptığı açıklamada etkinliğin bir yazılım açığının istismarı değil, meşru işlevlerin kötüye kullanımı gibi göründüğünü, saldırganların bazı durumlarda kurbanın bilgisayarında anında derlenen özel araçlar kullandığını söyledi. Huntress ilk açıklamasında saldırganların MSP ortamlarına nasıl girdiğini belirleyemediğini, eldeki verilerin ele geçirilmiş kimlik bilgilerine ya da çalınmış operatör oturumlarına işaret ettiğini belirtmişti. Şirket sonradan etkinliğin RMM+ eklentisiyle ilişkili göründüğünü açıkladı. Şirkete göre saldırganın kurulumlara verdiği sıra numaralı etiketler, başka MSP’lerin daha önce ele geçirilmiş olabileceğini düşündürüyor.

ConnectWise’ın duyurusu

ConnectWise, 11 Kasım’da 22.45 UTC’de Trust Center sayfasında yayımladığı ve 12 Kasım’da 02.45 UTC’de güncellediği duyuruda, bazı iş ortaklarının ScreenConnect ortamlarına yetkisiz erişim bildirimlerini araştırdığını açıkladı. Şirket, şu ana kadar ConnectWise altyapısının ele geçirildiğine ya da ScreenConnect’in kendisinde bir açık bulunduğuna dair kanıt bulmadığını belirtiyor.

Şirketin ilk değerlendirmesine göre etkinlik, iş ortaklarının ortamlarına kurduğu bağımsız üçüncü taraf eklentilerin bir saldırgan tarafından kötüye kullanılmasını içeriyor olabilir. ConnectWise bu değerlendirmeyi doğrulamaya çalıştığını, ilk erişim yönteminin ve olayın tam kapsamının hâlâ araştırıldığını söylüyor. Duyuruya göre bu eklentiler uzaktan komut çalıştırabilen bir API sunuyor ve bu API’ye erişim, kurulum sırasında iş ortağının belirlediği bir parola ifadesiyle (passphrase) korunuyor. Ancak sonradan yayımlanan CVE kaydına göre RMM+ varsayılan olarak sabit bir API sırrı kullanıyor ve bu değeri değiştirmeyen ortamlar yetkisiz erişime açık kalabiliyor.

ConnectWise, RMM+ ailesinden en az bir eklentinin kurulu olduğu yaklaşık 400 iş ortağı ortamı belirledi ve müdahale edebildiği ortamlarda şu beş eklentiyi önlem olarak devre dışı bıraktı:

• Labtech Plus
• RMM Plus
• RMM+
• RMM Plus Password Link
• RMM+ Password Link

Şirket, bu eklentilerin kurulu olmasının tek başına ortamın ele geçirildiği anlamına gelmediğini ve 400 sayısının doğrulanmış ihlalleri değil, eklentilerin kurulu olduğu ortamları gösterdiğini vurguluyor.

Önerilen önlemler

ConnectWise’ın duyurusuna göre:

• Kendi sunucusunda (on-premises) ScreenConnect çalıştıranların beş eklentiyi hemen kendilerinin devre dışı bırakması gerekiyor. ConnectWise bunu onların yerine yapamıyor. Yeni bir yönlendirme gelene kadar eklentiler yeniden etkinleştirilmemeli ya da kurulmamalı.
• Ele geçirildiğinden şüphelenilen cihazlara etkileşimli ScreenConnect oturumu açılmamalı, inceleme ayrı güvenlik araçlarıyla yapılmalı. Bu cihazlara bağlanmış teknisyen bilgisayarları da incelemeye dahil edilmeli.
• Kimlik doğrulama, eklenti kurulumu, yönetici işlemleri, Run Command ve Toolbox kayıtları saklanıp incelenmeli. Beklenmeyen hesaplar, yetki değişiklikleri, komutlar ve uzaktan erişim kurulumları araştırılmalı.
• Güvenilir bir cihazdan etkin ScreenConnect ve kimlik sağlayıcı oturumları iptal edilmeli, ilgili parolalar sıfırlanmalı, çok faktörlü kimlik doğrulama zorunlu tutulmalı ve gereksiz yönetici yetkileri kaldırılmalı.

ConnectWise, eklentileri devre dışı bırakmanın ve parolaları sıfırlamanın, cihazlara önceden yerleştirilmiş yetkisiz yazılımları, kalıcılık mekanizmalarını ya da erişimi tek başına kaldırmayabileceği uyarısını yapıyor. Şirket, iş ortaklarının ortamlarında ilk erişimden sonra olanları göremediğini ve her iş ortağının kendi ortamını değerlendirmesi gerektiğini belirtiyor.

Saldırı izleri

ConnectWise’ın duyurusunda yer alan izlerden bazıları şöyle. Şirket, bu izlerin ilk erişim yöntemini ya da kök nedeni ortaya koymadığını, eşleşme bulunmamasının da cihazın ele geçirilmediği anlamına gelmediğini not ediyor.

• IP adresleri: 185.99.255[.]28 (saldırganın denetimindeki ScreenConnect aktarıcısı), 155.94.150[.]39 (ikincil komuta kontrol altyapısı)
• Alan adları: ns[.]mo7sen[.]dev, sc[.]payproofkit[.]com, cdn007-digitaldownloads[.]com, newnewnew[.]gotdns[.]org, soxnewwork[.]homedns[.]org
• Dosyalar: sckit-run.bat, sckit-decoder.ps1, TrapWatch.ps1, Run-Lateral-Full.bat, runnew.cmd, ToolboxRelayUploader.exe
• Kalıcılık: C:\ProgramData\RelayTrap\ dizini, SYSTEM yetkisiyle çalışan TrapWatch adlı zamanlanmış görev, RelayTrapLiteAlert adlı Run kayıt defteri değeri
• Sahte ScreenConnect istemci kimlikleri: 2588ef5c15954b10, ed630cc2c873b091
• Saldırganla ilişkilendirilen hesap adları: Addmin, rmmserver

Duyuruya göre saldırganların, tarayıcıda saklanan oturum ve kimlik doğrulama verilerine erişmek için meşru bir araç olan sqlite3.exe’yi kötüye kullandığı bildirildi. Bu dosyanın bir cihazda bulunması tek başına ele geçirilme kanıtı sayılmıyor.

BleepingComputer, Huntress’in paylaştığı istemci kimliklerinden birinin (ed630cc2c873b091), 25 Temmuz 2026’da VirusTotal’a yüklenen ve ABD Sosyal Güvenlik İdaresi belgesi gibi adlandırılmış zararlı bir betikte de geçtiğini buldu. Temmuz’daki bu etkinlik ile son saldırılar arasındaki ilişki bilinmiyor.