ConnectWise, ScreenConnect saldırılarında üçüncü taraf eklentileri kapattı: yaklaşık 400 ortamda RMM+ erişimi durduruldu
ConnectWise, saldırganların ScreenConnect'teki üçüncü taraf eklentileri manipüle ederek son kullanıcılarda uzaktan komut çalıştırdığına dair raporları incelediğini açıkladı. Önlem olarak cloud tarafında yaklaşık 400 ortamda RMM+ eklentilerine erişimi kapattı; on-premises partnerlerden de eklentileri devre dışı bırakmalarını istedi.
MSP'leri hedef alan ScreenConnect kampanyasında yeni gelişme: ConnectWise, bir threat actor'ün ScreenConnect ortamlarındaki üçüncü taraf eklentileri manipüle ederek son kullanıcılara kötü amaçlı uzaktan komut gönderdiğine dair raporları araştırdığını açıkladı. Cybersecurity Dive'ın 12 Kasım tarihli haberine göre şirket, önlem olarak yaklaşık 400 ortamda RMM+ eklentilerine erişimi devre dışı bıraktı. Şirket, initial access yönteminin henüz doğrulanmadığını belirtiyor.
ConnectWise'ın devre dışı bıraktığı eklentiler: Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link ve RMM + Password Link. On-premises kurulumlarda şirket tek taraflı müdahale edemediği için bu partnerlerden kendi üçüncü taraf eklentilerini kapatmaları istendi.
Saha ne gösteriyor?
Huntress, kampanyada en az 288 endpoint ve 48 kurumda sahte ("rogue") ScreenConnect client'ları gördüğünü bildirmişti. Şirket, kullanılan araç setini SCKit olarak adlandırıyor: 16 dosyadan oluşan ve çok aşamalı yayılan bir toolkit. Sophos da benzer etkinliği incelediğini açıkladı; BlackPoint ise bir "Relay/Trap" bileşenini tarif etti.
BlackPoint, gözlenen "guest-to-host" davranışını, CISA'nın Eylül 2026'da KEV kataloğuna eklediği CVE-2026-84869 ile ilişkilendiriyor. Ancak habere göre bu açığın bu kampanyada gerçekten istismar edilip edilmediği henüz netleşmiş değil.
Ne yapılmalı?
- Eklentileri doğrulayın: Cloud ortamınızda yukarıdaki eklentilerin devre dışı olduğunu yönetim panelinden kontrol edin; on-premises kurulumlarda üçüncü taraf eklentileri change management süreciyle kapatın.
- İncelemeyi ScreenConnect dışından yapın: ConnectWise, etkilenmiş olabilecek sistemleri interaktif ScreenConnect oturumlarıyla değil ayrı araçlarla incelemeyi öneriyor.
- Yönetici erişimini temizleyin: Güvenilir bir cihazdan oturum açın, aktif ScreenConnect oturumlarını ve parolaları iptal edin, tüm yönetici hesaplarında MFA zorunlu olsun.
- Kanıtı koruyun: Authentication kayıtlarını, eklenti kurulum kayıtlarını, Run command ve Toolbox geçmişini silmeden saklayın; bunlar olay müdahalesinde kritik.
- MSP'niz üzerinden yönetilen bir kurumsanız, MSP'nize bu kampanyadan etkilenip etkilenmediğini ve hangi önlemleri aldığını yazılı olarak sorun.
