Một chiến dịch tấn công dùng chính công cụ hỗ trợ từ xa ScreenConnect để cài client giả lên 288 máy tại 48 tổ chức — trong vòng 90 phút. Một phần ba số máy bị dính chỉ trong 10 phút đầu. Đây là câu chuyện về việc công cụ của MSP bị biến thành vũ khí chống lại chính khách hàng của họ.

Chuyện gì đã xảy ra (ngày 11/11)

Theo Huntress, kẻ tấn công dùng các panel ScreenConnect cloud-hosted để chạy lệnh Run Command với quyền SYSTEM trên các endpoint được quản lý, cài đặt:

  • Client ScreenConnect giả do kẻ tấn công kiểm soát — tạo kênh truy cập bền vững.
  • SCKit — bộ công cụ gồm 16 file (PowerShell, batch script...) để duy trì truy cập và đánh cắp session.

Lối vào: không phải lỗi của ScreenConnect

Điểm mấu chốt mà nhiều báo cáo nhấn mạnh: đây không phải lỗi mới trong ScreenConnect. Dấu vết dẫn tới RMM+, một extension bên thứ ba cho phép phần mềm khác quản lý phiên ScreenConnect:

  • RMM+ phiên bản 1.0.31 và 1.0.32 chấp nhận access key rỗng nếu admin chưa từng cấu hình key — bỏ qua hoàn toàn tài khoản, role và MFA của ScreenConnect.
  • Lỗi này có CVE riêng: CVE-2026-127063 (CVSS 9.3), mô tả là lỗi default API-secret trong RMM+. Bản ghi CVE nói rõ core ScreenConnect server và client không bị ảnh hưởng.

Phần "sâu" của SCKit — đã thất bại, nhưng đáng sợ

SCKit chứa một thành phần tên RelayTrap, thiết kế để nhảy từ máy khách bị nhiễm sang máy trạm của kỹ thuật viên MSP đang kết nối — bằng cách khai thác lỗi truyền file CVE-2026-84869 (đã vào CISA KEV từ tháng 9, vá trong client 26.6.5 ngày 08/09/2026). Nếu thành công, kẻ tấn công chiếm luôn máy của kỹ thuật viên, rồi từ đó lan sang các khách hàng khác.

Nhưng phải nói rõ: Huntress nhấn mạnh hành vi giống sâu này chủ yếu được tái dựng từ code — trong mọi log máy chủ thu hồi được, nỗ lực chiếm console đều thất bại, và hãng chưa xác nhận có ca nào nhảy thành công sang máy kỹ thuật viên. Client đã vá 26.6.5 trở lên chặn được kỹ thuật này.

Phản ứng của ConnectWise

  • Tối 11/11 ra advisory; đã tắt 5 extension liên quan (Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link, RMM+ Password Link) tại khoảng 400 môi trường partner — nhưng hãng nhấn mạnh: có cài extension không có nghĩa là đã bị xâm nhập.
  • Tới bản cập nhật 12/11: ConnectWise nói không có bằng chứng hạ tầng của họ bị xâm nhập, cũng không có bằng chứng lối vào ban đầu là lỗi ScreenConnect. Cuộc điều tra vẫn mở.
  • Lưu ý cho on-prem: ConnectWise không thể tự tắt extension trên server của bạn — phải tự tắt tay.

Cần làm gì (nếu bạn dùng ScreenConnect hoặc là khách của MSP dùng nó):

  1. Tắt các extension RMM+ nói trên; cập nhật ScreenConnect client lên 26.6.5 trở lên.
  2. Rà soát các client ScreenConnect lạ được cài đặt và log Run Command / Toolbox ngày 11/11.
  3. Thu hồi session đang hoạt động và kiểm tra lại MFA trên panel.

Nguồn: