Bei einem Angriff auf die Fernwartungsplattform ConnectWise ScreenConnect haben Kriminelle nicht nur Kundengeräte unter ihre Kontrolle gebracht. Das eingeschleuste Toolkit SCKit ist darauf ausgelegt, auch Techniker beim nächsten Supportzugriff anzugreifen – und von deren Verwaltungssitzungen aus weitere Systeme zu erreichen. Microsoft beschreibt diese Angriffskette in einer Analyse vom 13. November 2026. Sicherheitsanbieter Huntress meldete zuvor mindestens 288 betroffene Endgeräte bei 48 Organisationen in seiner Telemetrie.
Angriff auf eine zentrale Vertrauensbeziehung
ScreenConnect wird von IT-Dienstleistern und Managed Service Providern (MSPs) eingesetzt, um Kundenrechner aus der Ferne zu verwalten. Ein erfolgreicher Zugriff auf eine solche Managementumgebung ist besonders folgenschwer: Befehle lassen sich damit an viele betreute Geräte verteilen, ohne jedes einzelne direkt angreifen zu müssen.
Nach Angaben von Huntress begannen die beobachteten Angriffe am 11. November gegen 17:47 Uhr UTC. Innerhalb von etwa 90 Minuten wurden 288 Endgeräte über mehrere ScreenConnect-Umgebungen angegriffen. Die Zahl beschreibt die bei Huntress sichtbaren Fälle, nicht den weltweiten Umfang. Die Täter verwendeten die legitime Funktion „Run Command“, um auf erreichbaren Endgeräten eine zweite ScreenConnect-Installation einzurichten, die sich mit ihrer eigenen Infrastruktur verband.
Wie SCKit den Techniker zum nächsten Ziel machen soll
Die zweite Fernwartungsinstallation schafft einen Zugang, der unabhängig von der ursprünglichen Supportumgebung bestehen kann. Anschließend wird das Skript-Toolkit SCKit nachgeladen. Microsoft Security Research beschreibt unter anderem verschlüsselte Komponenten, geplante Aufgaben und Registry-Einträge zur dauerhaften Verankerung sowie einen Bestandteil namens RelayTrap.
Das besondere Risiko liegt in der nächsten Supportverbindung: SCKit soll die authentifizierte Sitzung eines Technikers missbrauchen, der sich mit einem infizierten Kundenrechner verbindet. Von dessen Arbeitsstation oder Managementkonsole aus könnten die Angreifer weitere verwaltete Geräte erreichen. Microsoft beschreibt die dafür vorgesehene Mechanik. Wichtig ist jedoch die Unterscheidung zwischen beobachteten Infektionen und weiteren Ausbreitungsschritten, die Sicherheitsforscher bislang vor allem aus der Analyse des Toolkits ableiten. Eine vollständig nachgewiesene Ketteninfektion aller möglichen Zielgeräte ist damit nicht belegt.
Ist eine ungepatchte ScreenConnect-Lücke die Ursache?
Die Frage ist komplexer als eine einzelne CVE-Nummer. Die beobachteten Anfangszugriffe und die spätere, im Toolkit angelegte Techniker-Angriffskette sind getrennt zu betrachten. ConnectWise hatte im Zuge der Ermittlungen vorsorglich mehrere Erweiterungen von Drittanbietern in Cloud-Umgebungen deaktiviert. Nach den frühen Angaben war der vollständige ursprüngliche Zugriffsweg noch nicht abschließend geklärt.
Der Techniker-Angriff wird außerdem mit der bereits behobenen Schwachstelle CVE-2026-84869 in Verbindung gebracht. Nach einer Auswertung von BleepingComputer hatten Huntress und Blackpoint Cyber in den untersuchten Angriffen noch keinen erfolgreichen Missbrauch dieser Schwachstelle beobachtet; mit aktualisiertem Client ließ sich der Angriff im Test abwehren. Diese Schwachstelle darf daher nicht pauschal als bewiesene Ursache für die ersten kompromittierten Verwaltungskonsolen dargestellt werden.
Warum das auch deutsche IT-Dienstleister betrifft
Das Angriffsmuster trifft die zentrale Sicherheitsannahme im IT-Support: Wer von einer vertrauenswürdigen Fernwartungszentrale aus arbeitet, erwartet kontrollierte Zugriffe auf Kundengeräte. SCKit versucht, diese Richtung umzudrehen. Ein bereits infizierter Kundenrechner kann zur Falle für den Techniker werden. Bei Dienstleistern mit vielen Kunden vergrößert das die mögliche Reichweite erheblich.
Für Administratoren reicht es deshalb nicht, allein verdächtige Programme auf einem Kundenrechner zu entfernen. Microsoft und Huntress empfehlen, betroffene Endgeräte zu isolieren und auch die Arbeitsstationen der Techniker zu untersuchen. Verbindungen zu mutmaßlich infizierten Systemen sollten nicht erneut über dieselbe ScreenConnect-Sitzung hergestellt werden. Zu prüfen sind außerdem zusätzliche Fernwartungsclients, geplante Aufgaben, Registry-Persistenz, Verwaltungssitzungen, Erweiterungen, Zugriffsrechte und die Befehlsprotokolle der Fernwartungsumgebung.
Die Huntress-Handlungsempfehlung rät ausdrücklich, mit der Wiederverbindung zu betroffenen Geräten zu warten, bis die Bereinigung abgeschlossen ist. Microsoft weist darauf hin, dass das Löschen eines unautorisierten Clients allein die übrige Persistenz nicht zwangsläufig beseitigt und ein Passwortwechsel aktive missbrauchte Sitzungen nicht immer beendet.
Der offene Punkt: Wie kamen die Täter zuerst in die Verwaltung?
Der bestätigte Missbrauch von ScreenConnect zur Verteilung der Schadsoftware und die im Toolkit angelegten Ausbreitungswege sind gut dokumentiert. Für die Sicherheitsbewertung der gesamten Lieferkette bleibt jedoch entscheidend, wie die ersten Verwaltungskonsolen kompromittiert wurden und wie weit die nachgelagerten Technikerangriffe tatsächlich erfolgreich waren. Solange diese Fragen offen sind, ist Vorsicht bei pauschalen Aussagen über die Reichweite geboten.
Quellen
📂
Kategorie
News
Aktuelle Meldungen aus der Tech-Welt – kompakt eingeordnet, ohne Clickbait-Überschriften.
