SCKit malware tấn công qua ScreenConnect, đe dọa MSP
"The SCKit malware exploits CVE-2026-84869, an improper privilege management flaw in ConnectWise ScreenConnect, to gain unauthorized access and execute code during remote sessions. While patching CVE-2026-84869 mitigates the direct exploit, the malware also hijacks authenticated sessions and uses legitimate ScreenConnect features to spread laterally, potentially compromising technician workstations and further customer environments. The campaign targets MSPs by leveraging trusted functionality to pivot and maintain persistence."
SCKit malware khai thác lỗ hổng bảo mật trong ScreenConnect, cho phép xâm nhập trái phép và thực thi mã độc hại trên hệ thống.
Các MSP là mục tiêu chính của SCKit, có thể dẫn đến mất dữ liệu, gián đoạn dịch vụ và thiệt hại uy tín cho khách hàng.
ConnectWise ScreenConnect bị khai thác bởi SCKit malware, sử dụng lỗ hổng CVE-2026-84869 để xâm nhập và thực thi mã trong các phiên hỗ trợ từ xa. Blackpoint Cyber cho biết, dù vá lỗ hổng này sẽ ngăn chặn khai thác trực tiếp, malware vẫn có thể chiếm quyền các phiên đã xác thực và sử dụng tính năng hợp pháp của ScreenConnect để lây lan ngang.
SCKit nhắm mục tiêu các MSP bằng cách lợi dụng chức năng đáng tin cậy để xâm nhập sâu và duy trì quyền truy cập. Malware sử dụng RelayTrap để lây nhiễm máy trạm của kỹ thuật viên khi họ điều tra hoạt động đáng ngờ.
Quá trình tấn công sử dụng Run Command để thực thi lệnh. Kẻ tấn công tải xuống và chạy MSI installer ("sc.msi") sau khi kiểm tra ScreenConnect, sau đó tải batch script dropper ("sckit-run.bat"). Script này tải PowerShell decoder ("sckit-decoder.ps1") và triển khai các thành phần của SCKit.
Malware cài đặt trái phép hai ScreenConnect Access client để duy trì quyền truy cập từ xa. Nó cũng sử dụng script và mã C# để can thiệp vào các phiên ScreenConnect Guest, bao gồm RelayTrap. SCKit cố gắng thực thi file từ Guest sang Host, thay thế ScreenConnect Guest hợp pháp bằng payload của nó.
Nếu thành công, malware sẽ lấy cắp session trình duyệt đã xác thực của kỹ thuật viên để lây lan sang các endpoint khác mà họ có quyền quản lý. Điều này cho phép kẻ tấn công vượt ra khỏi hệ thống ban đầu và xâm nhập vào môi trường của khách hàng khác. Kẻ tấn công có thể triển khai phần mềm dưới quyền NT AUTHORITY\SYSTEM mà không cần phương pháp thực thi riêng biệt trên mỗi máy.
SCKit nhắm mục tiêu kỹ thuật viên vì họ thường kết nối với nhiều endpoint của khách hàng từ máy trạm có quyền quản trị. Mục tiêu cuối cùng là chiếm quyền kiểm soát nhiều hệ thống hơn thông qua quyền truy cập của kỹ thuật viên.
Câu hỏi thường gặp
SCKit malware là gì?
SCKit là một loại malware khai thác lỗ hổng CVE-2026-84869 trong ConnectWise ScreenConnect để xâm nhập và lây lan trong hệ thống.
CVE-2026-84869 là gì?
Đây là một lỗ hổng quản lý đặc quyền trong ScreenConnect, cho phép kẻ tấn công thực thi mã mà không cần xác nhận của người dùng.
Làm thế nào SCKit lây lan?
SCKit lây lan bằng cách chiếm quyền các phiên ScreenConnect đã xác thực và sử dụng các tính năng hợp pháp của phần mềm để lây nhiễm các hệ thống khác.
Góc nhìn của Orange Cloud
Theo chúng tôi, SCKit malware cho thấy các MSP cần đặc biệt chú ý đến bảo mật phiên hỗ trợ từ xa. Việc vá CVE-2026-84869 là cần thiết, nhưng không đủ. Các doanh nghiệp nên xem xét giải pháp giám sát phiên làm việc của kỹ thuật viên để phát hiện các hoạt động bất thường. Điều đáng chú ý là malware này lợi dụng chính các công cụ quản lý của ScreenConnect, cho thấy tầm quan trọng của việc kiểm soát quyền truy cập và giám sát liên tục.