Злоумышленники использовали панели удалённого управления ScreenConnect, чтобы установить собственные средства доступа как минимум на 288 компьютерах в 48 организациях. Huntress зафиксировала эту волну 11 ноября: вся наблюдаемая группа была затронута за 90 минут. Это данные о клиентах Huntress, а не полный масштаб кампании. Вместе с чужими клиентами ScreenConnect атакующие доставляли вредоносный набор SCKit.

В обновлении расследования Huntress связала происходящее с RMM+ — сторонним расширением, позволяющим другим программам управлять сеансами ScreenConnect. Оно проверяет собственный общий ключ вместо учётной записи специалиста, его роли и многофакторной аутентификации. В версиях 1.0.31 и 1.0.32 незаданный ключ оставался пустым, и расширение принимало такое же пустое значение в запросе. В изученных журналах команды были связаны с RMM+, а соответствующих входов пользователей не было.

ConnectWise пока считает этот путь первоначального доступа предварительной версией. Компания отключила пять связанных сторонних расширений примерно в 400 облачных средах, где они были установлены. Это предосторожность, а не подтверждение взлома всех этих сред.

У SCKit обнаружилась и попытка развернуть атаку в обратную сторону: с заражённого компьютера на машину подключившегося специалиста, а затем на другие обслуживаемые им устройства. Однако Huntress не наблюдала успешного распространения по этой цепочке. Blackpoint Cyber также подтвердила чужие установки, но не переход к специалисту; в её тесте актуальный клиент не выполнил присланный вредоносный файл.

По проверке ConnectWise, этот обратный путь блокирует исправление, выпущенное ещё 8 сентября в клиенте 26.6.5. Обновление облачной панели само по себе не обновляет программу на компьютере специалиста. И даже установленное исправление не удаляет уже добавленные чужие средства доступа: устранение исходной ошибки и очистка взломанных машин остаются разными задачами.