ConnectWise onderzoekt ongeautoriseerde toegang via ScreenConnect na incidenten bij bijna 50 organisaties, mogelijk door misbruik van derdepartij extensie RMM+.
ConnectWise onderzoekt meldingen van ongeautoriseerde toegang bij klanten na rapporten dat bijna 50 organisaties werden getroffen via het ScreenConnect-platform van het bedrijf. De IT-managementsoftwareleverancier vermoedt dat de incidenten verband houden met misbruik van een onafhankelijke derdepartij extensie, genaamd RMM+, die in klantomgevingen is geïnstalleerd.
RMM+ is een extensie voor ConnectWise ScreenConnect die externe beheertools in staat stelt om via een API remote sessies te automatiseren en te beheren. ConnectWise meldde dat ongeveer 400 partneromgevingen deze extensie gebruiken, maar dat de aanwezigheid daarvan op zichzelf geen bewijs is voor een compromittering. De toegang tot de API wordt beschermd door een door de partner ingestelde passphrase.
De aanvallers zouden extra remote-access software hebben geïnstalleerd en mogelijk ook werkstations van technici hebben gecompromitteerd tijdens interactieve verbindingen met getroffen apparaten. ConnectWise heeft RMM+ uitgeschakeld in de 400 klantomgevingen en adviseert klanten met on-premises systemen om dit zelf te doen, omdat het bedrijf dit niet centraal kan uitvoeren. Alle klanten wordt geadviseerd te controleren of RMM+ is uitgeschakeld en alert te zijn op verdachte ScreenConnect-verbindingen met mogelijk gecompromitteerde systemen.
ConnectWise waarschuwt dat het uitschakelen van extensies en het resetten van inloggegevens mogelijk niet voldoende is om ongeautoriseerde software, persistentie-mechanismen of reeds gevestigde toegang op endpoints te verwijderen. Er zijn meldingen van ongebruikelijke aanmeldingen en herhaalde mislukte inlogpogingen.
Oorspronkelijk werden vijf verschillende derdepartij extensies onderzocht, maar later werd de oorzaak toegeschreven aan RMM+. De waarschuwingen die tot actie leidden, kwamen nadat cybersecuritybedrijf Huntress meldde 288 getroffen endpoints binnen 48 organisaties te hebben geïdentificeerd in een tijdsbestek van 90 minuten. Huntress vond commando’s gerelateerd aan RMM+ op meerdere ScreenConnect-systemen en bevestigde dat ConnectWise RMM+ en vier andere extensies had uitgeschakeld. Volgens Huntress is er geen bewijs voor een nieuwe kwetsbaarheid, maar is het onduidelijk hoe de aanvallers toegang tot het beheerpaneel kregen. De vermoedelijke oorzaak is het gebruik van gecompromitteerde inloggegevens of gekaapte operator-sessies aldus Huntress.
In verschillende aanvallen gebruikten de dreigingsactoren gecompromitteerde systemen om persistente achterdeurtjes te creëren en verspreidden zij malware binnen netwerken zodra een technicus verbinding maakte met een geïnfecteerd endpoint. ScreenConnect wordt veel gebruikt door managed service providers die IT-infrastructuur en eindgebruikerssystemen beheren.
Onderzoekers van Blackpoint Cyber bevestigden dat de toolkit van de aanvallers gebruikmaakt van de in september ontdekte kwetsbaarheid CVE-2026-84869 in ConnectWise ScreenConnect. De Amerikaanse Cybersecurity and Infrastructure Security Agency waarschuwde toen al voor exploitatie van deze kwetsbaarheid in een officiële waarschuwing. De onderzoekers testten de toolkit op een volledig gepatchte ScreenConnect-client en bevestigden dat de patch effectief is, wat erop wijst dat de getroffen systemen waarschijnlijk niet waren bijgewerkt.
