ScreenConnect-Angriffe: Sechs MSP gekapert, 286 Geräte in 47 Organisationen betroffen

Angreifende haben über kompromittierte ScreenConnect-Umgebungen laut Huntress mindestens sechs IT-Dienstleister gekapert und 286 Endgeräte in 47 Organisationen erreicht. ConnectWise hat am 11. November 2026 fünf Erweiterungen von Drittanbietern in rund 400 Partnerumgebungen abgeschaltet. Bereits installierte Schadsoftware verschwindet dadurch laut dem Hersteller nicht, wie BleepingComputer berichtet. Die Opferzahl steigt.

Der Einbruch läuft über ScreenConnect selbst

Die Kampagne missbraucht laut Huntress die Run-Command-Funktion von ScreenConnect, um fremde Fernwartungsclients auf verwaltete Endgeräte zu schieben. Die Plattform von ConnectWise dient der Fernwartung. Managed Service Provider, kurz MSP, betreuen damit die Rechner ihrer Kundschaft. Run Command führt Befehle direkt auf diesen Rechnern aus. Genau dafür wurde die Funktion gebaut. Danach umgehen die eingeschleusten Clients den MSP. Sie melden sich bei den Angreifenden.

Huntress registrierte den Beginn der Kampagne am 11. November 2026 gegen 17:47 Uhr UTC. Ziel waren laut einem Reddit-Beitrag des Unternehmens cloudgehostete Instanzen. Das Lagezentrum von Huntress schlug an, als fremde Clients auf überwachten Geräten auftauchten. Die Angreiferskripte blieben danach abrufbar. Huntress lud sie herunter und analysierte sie. Auch Kriminelle räumen nicht immer auf.

Brisanter ist eine zweite Technik. Laut Huntress können die Angreifenden auch Rechner im MSP-Support übernehmen. Dafür genügt eine ScreenConnect-Sitzung mit einem infizierten Kundengerät. ConnectWise liegen Meldungen über solche Fälle vor. Bestätigt sind sie noch nicht. Wie die Schadsoftware vom Endgerät auf den Supportrechner springt, ist öffentlich nicht erklärt. Wer zu Hilfe eilt, schleppt die Infektion ins eigene Haus.

Eine Sicherheitslücke steckt offenbar nicht dahinter. Spike Brandt, Principal Threat Intelligence Incident Commander bei Huntress, sprach gegenüber BleepingComputer von Missbrauch legitimer Funktionen. Dabei helfe eigens gebaute Software. Teils entstehe sie direkt auf dem Opferrechner. Wie der erste Rechner, der „Patient Zero“, den Angriff ausgelöst hat, weiß Huntress nach Brandts Angaben nicht. Die Telemetrie deutet laut Huntress auf gestohlene Zugangsdaten oder gekaperte Bedienersitzungen hin. Gestohlene Zugänge sind längst Handelsware, wie die Mistic-Backdoor des Zugangsbrokers KongTuke zeigt.

Fünf Erweiterungen unter Verdacht

ConnectWise hat in einem Sicherheitshinweis vom 11. November 2026 unbefugte Zugriffe auf Partnerkonten von ScreenConnect bestätigt. Auch fremde Fernzugriffssoftware in Kundennetzen ist bestätigt. Verdächtig sind fünf unabhängige Erweiterungen von Drittanbietern. Partnerfirmen installieren solche Erweiterungen über einen Marktplatz in der Administrationsoberfläche. Über diese Module haben die Angreifenden laut ConnectWise vermutlich zusätzliche Fernzugriffssoftware verteilt. Die abgeschalteten Erweiterungen tragen folgende Namen:

• Labtech Plus
• RMM Plus
• RMM+
• RMM Plus Password Link
• RMM+ Password Link

Die Abschaltung betrifft nur cloudgehostete Partnerumgebungen. Selbst gehostete Installationen erreicht der Hersteller nicht. Wer ScreenConnect on-premises betreibt, muss die Erweiterungen eigenhändig deaktivieren. Wieder aktivieren oder neu installieren sollen Partnerfirmen sie vorerst nicht. Weitere Anweisungen sollen folgen. Die Cloud bekommt den Notaus frei Haus.

Die Abschaltung ist laut ConnectWise ausdrücklich eine Vorsichtsmaßnahme zur Eindämmung. Sie belegt nicht, dass Schadsoftware, Persistenzmechanismen oder fremde Zugänge entfernt sind. Persistenz bezeichnet Vorkehrungen, mit denen Schadcode nach einem Neustart wieder anläuft. Installierte Erweiterungen bedeuten laut Hersteller nicht automatisch eine Kompromittierung. Wer keines der fünf Module nutzt, ist nach Einschätzung von ConnectWise nicht betroffen. Wachsam bleiben sollen trotzdem alle. Ein neues Schloss hilft wenig, wenn längst jemand im Wohnzimmer sitzt.

Die Spur reicht bis Juli

Eine der fremden Client-IDs aus der aktuellen Kampagne steckt laut BleepingComputer bereits in einem Schadskript aus dem Sommer 2026. Die Batch-Datei heißt SSA-2026-STATEMENT-15518787.bat. Sie tarnt sich als Bescheid der US-Sozialversicherungsbehörde Social Security Administration. Bei VirusTotal, einem Onlinedienst zur Prüfung verdächtiger Dateien, tauchte sie erstmals am 25. Juli 2026 auf.

Dieses Bild wurde mit KI generiertProviderhiggsfieldModellgpt_image_2_5 flare high 1k 16:9PromptMagazine cover style illustration: top-down flat-lay view of a laptop on a dark navy background. The screen shows a simple remote support window with a large orange 'Connect' button, a small monitor icon and a cursor arrow controlling a second, smaller desktop window. A headset and a coffee mug sit beside the laptop, hinting at an IT service provider's desk. A thin dotted orange line leads from the laptop to a distant server icon. Bold geometric shapes, limited palette of navy, signal orange and cream, clean editorial look. No watermark, no signature.

Zuerst versucht das Skript, Defender-Ausnahmen anzulegen. Es nistet sich über den Autostart-Ordner und den Run-Schlüssel der Windows-Registry ein. Danach holt es von amexsafekeyupdate.com die Befehle für zwei Installer. In der Sandbox von VirusTotal lud die Probe ScreenConnect-Installer von cdn007-digitaldownloads[.]com. Huntress führt dieselbe Domain als möglichen Kommandoserver der aktuellen Welle. Ein Kommandoserver, kurz C2, steuert eingeschleuste Programme aus der Ferne.

Nach dem zweiten Installer durchsucht das Skript per PowerShell laufende Prozesse und Windows-Dienste nach der Kennung ed630cc2c873b091. Huntress listet genau diese ID. Findet das Skript die Kennung, gilt die Installation als gelungen. Dann meldet es den Erfolg per Telegram. Der Dateiname deutet laut BleepingComputer auf Phishing als Verbreitungsweg. Erfolgskontrolle beherrscht auch die Gegenseite.

Wie der Juli-Fund mit der November-Kampagne zusammenhängt, ist ungeklärt. Huntress schweigt zum Juli-Vorfall. Das Unternehmen sieht 2026 aber einen deutlichen Anstieg von Angriffen mit legitimer RMM-Software als erster Nutzlast. RMM steht für Remote Monitoring and Management, also Werkzeuge zur Fernüberwachung und Fernverwaltung.

TrendAI beschreibt in einer Analyse vom 17. August 2026 einen umkonfigurierten ScreenConnect-Installer mit echter Codesignatur. Die Datei besteht laut TrendAI die Signaturprüfung. Zugestellt wurden solche Clients laut TrendAI per Phishing, über vergiftete Suchtreffer und mutmaßlich über Werbenetze. Im weitreichendsten Fall installierte ein bereits vorhandener SimpleHelp-Agent den ScreenConnect-Client ohne jedes menschliche Zutun. Ein Fernwartungstool lieferte das nächste.

Laut TrendAI hat G DATA gezeigt, dass ScreenConnect seine Konfiguration in der Zertifikatstabelle speicherte. Angreifende konnten deshalb Symbole, Titel und Verbindungsanzeigen ändern, ohne die Signatur zu brechen. Selbst ein gefälschter Windows-Update-Bildschirm war darstellbar. Er sollte Opfer vom Ausschalten abhalten. Die Signatur stimmt, der Absender nicht.

Patch im September, Missbrauch im November

ConnectWise hat im September 2026 eine kritische Lücke in ScreenConnect geschlossen, doch die November-Welle kommt laut Huntress ohne Schwachstelle aus. Am 3. September 2026 hatte der Hersteller laut Help Net Security einen Fehler in der Dateiübertragung gemeldet. Huntress hatte zuvor manipulierte Clients beschrieben, die Schadcode an jedes neu verbundene Gerät weiterreichten. Field Effect nennt das Muster wurmartig. Begonnen hatte die Serie laut Field Effect im August 2026 mit Social Engineering. Dazu zählten falsche Supportangebote über Microsofts Fernhilfe Quick Assist.

Die manipulierten Clients starteten laut Field Effect immer wieder wscript.exe. Das Windows-Programm führte eine vierstufige VBScript-Kette aus. Die Skripte erkundeten den Rechner und listeten installierte Sicherheitsprodukte auf. Persistenz verschafften sie sich über einen Run-Schlüssel namens WindowsServiceHost. Huntress fand laut Help Net Security auch Nutzlasten für Tunnel und Krypto-Mining. An Fleiß mangelte es der Gegenseite nicht.

Am 11. September 2026 folgte Version 26.6.5. Sie schließt die Lücke CVE-2026-84869. ConnectWise bewertete sie auf der CVSS-Skala, dem Standardmaß für Schweregrade, mit 9,9. Betroffen ist laut Field Effect der Client, nicht der Server. Cloud-Instanzen wurden automatisch aktualisiert. Selbst gehostete Installationen brauchten ein manuelles Upgrade. Danach sollten Betreibende laut ConnectWise die Host-Clients neu installieren und die Access-Agenten aktualisieren. Wer nicht sofort aktualisieren konnte, sollte laut Field Effect vorübergehend die Berechtigung TransferFiles aus den Benutzerrollen streichen.

John Hammond von Huntress sagte Help Net Security, Huntress halte diese Lücke für das Einfallstor der damaligen Angriffe. Wer im September brav gepatcht hat, ist im November trotzdem nicht raus. Missbraucht werden nach bisherigem Bild Konten, Sitzungen und Erweiterungen. Die Tür war nie kaputt. Gegen eine Funktion, die tut, was sie soll, hilft kein Update.

ScreenConnect steht seit Jahren auf der Wunschliste von Angreifenden. Im Jahr 2024 nutzten Kriminelle laut Field Effect die Authentifizierungslücke CVE-2024-1709 in selbst gehosteten Servern breit aus. Die US-Behörde CISA nahm sie in ihren Katalog aktiv ausgenutzter Schwachstellen auf. Mehrere Ransomware-Gruppen bauten sie laut Field Effect in ihre Angriffe ein. Field Effect begründet das Interesse mit den weitreichenden Adminrechten der Plattform. Bei MSP reichen diese Rechte oft über mehrere Kundennetze. Wer Generalschlüssel verwaltet, lockt Einbruchsprofis an.

Erst prüfen, dann verbinden

ConnectWise rät Supportteams von interaktiven ScreenConnect-Sitzungen mit möglicherweise kompromittierten Geräten ab. Huntress empfiehlt dasselbe. Aus den Hinweisen beider Unternehmen ergibt sich diese Reihenfolge; Schritt eins entfällt bei Cloud-Instanzen.

1. Deaktivieren Sie die fünf verdächtigen Erweiterungen in Ihrer selbst gehosteten Installation von Hand.
2. Lassen Sie die Module deaktiviert, bis ConnectWise neue Anweisungen veröffentlicht.
3. Prüfen Sie Anmeldeprotokolle, Installationsnachweise von Erweiterungen und administrative Aktivitäten.
4. Durchsuchen Sie den Run-Command-Verlauf und die Einträge der Toolbox, der Werkzeugablage in ScreenConnect.
5. Gleichen Sie Endgeräte und Protokolle mit den Indikatoren von Huntress ab.

Prüfen Sie den Verlauf auch ohne Alarm. Die Angreifenden vergeben laut Huntress fortlaufende Kennungen. Diese Zählung legt nahe, dass weitere MSP schon früher kompromittiert wurden. Stille im Monitoring beweist hier gar nichts.

Tipp: Durchsuchen Sie Ihre Protokolle gezielt nach dem Parameter „c=Exploited“, denn Huntress führt dieses Installermuster als Indikator der Kampagne.

Die Bewertung einzelner Funde ist heikel. Gutartige und bösartige ScreenConnect-Nutzung sehen laut TrendAI fast identisch aus. Mehrere Fälle bezogen den Client laut TrendAI direkt über legitime Relays auf screenconnect.com. Die Juli-Probe lud in der Sandbox ebenfalls einen Installer von cyberrexdesign.screenconnect[.]com. Verlässlich ist laut TrendAI erst der Blick auf die konkrete Instanz, das Relay als Vermittlungsserver und die Downloadquelle. Der Herstellername auf der Datei sagt wenig.

Die folgende Tabelle zeigt die Indikatoren für eine Kompromittierung, kurz IOCs, die Huntress zur aktuellen Kampagne veröffentlicht hat.

Gegen gestohlene Zugangsdaten empfahl Field Effect schon im September Mehr-Faktor-Authentifizierung für Admin-Konten. Die Administrationsoberfläche sollte laut Field Effect nur aus vertrauenswürdigen Verwaltungsnetzen erreichbar sein. Allgemeine Abwehrregeln liefert unser Überblick zu den sieben Schutzmaßnahmen, die das BSI gegen Malware im Mittelstand empfiehlt. Beides kostet wenig.

Offen ist weiterhin der Einstieg. Huntress hat nicht ermittelt, wie die Angreifenden in die MSP-Umgebungen gelangen. Informiert hat Huntress nach eigener Aussage ConnectWise, den Hosting-Anbieter der Angreiferserver, die Anbieter der missbrauchten DNS-Dienste und die MSP-Szene. Ob die fünf Erweiterungen je zurückkehren, entscheidet die nächste Anweisung von ConnectWise.