Νέα κυβερνοεπίθεση με στόχο το ConnectWise ScreenConnect, ένα από τα γνωστότερα εργαλεία απομακρυσμένης τεχνικής υποστήριξης, έχει θέσει σε συναγερμό εταιρείες πληροφορικής και παρόχους διαχειριζόμενων υπηρεσιών IT. Η ConnectWise ανακοίνωσε το βράδυ της 11ης Νοεμβρίου 2026 ότι διερευνά περιστατικά μη εξουσιοδοτημένης πρόσβασης σε περιβάλλοντα συνεργατών της, ενώ προχώρησε στην προληπτική απενεργοποίηση πέντε επεκτάσεων λογισμικού που είχαν εγκατασταθεί σε περίπου 400 περιβάλλοντα. Η απόφαση ελήφθη μετά από αναφορές για εγκατάσταση μη εγκεκριμένου λογισμικού απομακρυσμένης πρόσβασης σε υπολογιστές πελατών.
Η έκταση της επίθεσης αποτυπώνεται στα πρώτα ευρήματα της εταιρείας κυβερνοασφάλειας Huntress, η οποία εντόπισε τουλάχιστον 288 επηρεαζόμενους υπολογιστές σε 48 οργανισμούς μέσα σε περίπου 90 λεπτά. Οι επιτιθέμενοι αξιοποίησαν πρόσβαση σε συστήματα διαχείρισης ScreenConnect για να εγκαταστήσουν πρόσθετο λογισμικό και ένα κακόβουλο toolkit με την ονομασία SCKit. Το ιδιαίτερα ανησυχητικό στοιχείο είναι ότι ο κώδικας του SCKit περιλαμβάνει μηχανισμό που έχει σχεδιαστεί ώστε να μεταφέρει την επίθεση από έναν μολυσμένο υπολογιστή στον σταθμό εργασίας του τεχνικού που συνδέεται για να τον υποστηρίξει και, από εκεί, σε άλλες συσκευές. Η Huntress διευκρινίζει ότι δεν έχει παρατηρήσει επιτυχημένη εξάπλωση μέσω αυτού του δεύτερου μηχανισμού.
Πώς το ScreenConnect έγινε εργαλείο της επίθεσης
Το ScreenConnect χρησιμοποιείται από εταιρείες IT και Managed Service Providers για την απομακρυσμένη διαχείριση και τεχνική υποστήριξη υπολογιστών.
Μέσα από μία κεντρική πλατφόρμα, ένας τεχνικός μπορεί να συνδεθεί σε πολλούς υπολογιστές πελατών, να εκτελέσει εντολές, να εγκαταστήσει λογισμικό και να αντιμετωπίσει προβλήματα χωρίς φυσική παρουσία.
Αυτή ακριβώς η δυνατότητα αποτέλεσε το σημαντικότερο πλεονέκτημα για τους επιτιθέμενους.
Σύμφωνα με τη Huntress, οι δράστες είχαν αποκτήσει πρόσβαση σε περισσότερες από μία cloud-hosted κονσόλες ScreenConnect και χρησιμοποίησαν τη λειτουργία Run Command για να προωθήσουν κακόβουλες εντολές σε ομάδες συνδεδεμένων υπολογιστών.
Η ύποπτη δραστηριότητα εντοπίστηκε στις 11 Νοεμβρίου, περίπου στις 19:47 ώρα Ελλάδας. Μέσα στα επόμενα 90 λεπτά καταγράφηκαν 288 επηρεαζόμενες συσκευές, με περίπου το ένα τρίτο των περιστατικών να σημειώνεται στα πρώτα δέκα λεπτά.
Στους υπολογιστές εγκαταστάθηκαν πρόσθετοι ScreenConnect clients που ελέγχονταν από τους επιτιθέμενους, επιτρέποντας τη δημιουργία ανεξάρτητων διαδρομών απομακρυσμένης πρόσβασης.
Με αυτόν τον τρόπο, οι δράστες μπορούσαν να επιχειρήσουν να διατηρήσουν πρόσβαση στους υπολογιστές ακόμη και αν η αρχική σύνδεση τεχνικής υποστήριξης τερματιζόταν.
Το SCKit και ο μηχανισμός εξάπλωσης μέσω τεχνικών υποστήριξης
Η τεχνική ανάλυση της Huntress αποκάλυψε ένα toolkit με την ονομασία SCKit, αποτελούμενο από 16 αρχεία, μεταξύ των οποίων PowerShell scripts, batch files και στοιχεία παραμετροποίησης.
Το SCKit έχει σχεδιαστεί ώστε να εγκαθιστά μηχανισμούς διατήρησης πρόσβασης και να εκμεταλλεύεται την εμπιστοσύνη που υπάρχει ανάμεσα στους υπολογιστές πελατών και στα συστήματα τεχνικής υποστήριξης.
Το πιο επικίνδυνο σενάριο ξεκινά όταν ένας τεχνικός επιχειρεί να συνδεθεί σε υπολογιστή που έχει ήδη επηρεαστεί.
Ο κακόβουλος κώδικας διαθέτει λειτουργίες που επιδιώκουν να εκμεταλλευτούν αυτή τη σύνδεση, μεταφέροντας πρόσθετο λογισμικό στον σταθμό εργασίας του τεχνικού.
Στη συνέχεια, επιχειρεί να αξιοποιήσει στοιχεία ενεργών συνεδριών και δικαιώματα πρόσβασης, ώστε να φτάσει σε άλλους υπολογιστές που διαχειρίζεται ο ίδιος τεχνικός.
Πρόκειται για μηχανισμό πλευρικής μετακίνησης, γνωστό στην κυβερνοασφάλεια ως lateral movement.
Η Huntress διαπίστωσε ότι ο κώδικας περιλαμβάνει τις απαραίτητες λειτουργίες για αυτό το σενάριο, αλλά υπογράμμισε πως οι απόπειρες κατάληψης της κονσόλας απέτυχαν σε όλα τα σχετικά αρχεία καταγραφής που εξέτασε.
Επομένως, η εγκατάσταση του SCKit στους επηρεαζόμενους υπολογιστές είναι καταγεγραμμένο περιστατικό, ενώ η ευρύτερη αυτοματοποιημένη εξάπλωση μέσω των σταθμών εργασίας των τεχνικών παραμένει δυνατότητα του κακόβουλου λογισμικού και όχι επιβεβαιωμένο αποτέλεσμα της επίθεσης.
Γιατί απενεργοποιήθηκαν πέντε επεκτάσεις σε 400 περιβάλλοντα
Μετά τις πρώτες αναφορές, η ConnectWise ξεκίνησε έρευνα για τον τρόπο με τον οποίο οι επιτιθέμενοι απέκτησαν πρόσβαση στα συστήματα συνεργατών της.
Η εταιρεία εντόπισε πέντε ανεξάρτητα αναπτυγμένες επεκτάσεις τρίτων που ενδέχεται να σχετίζονται με τη δραστηριότητα: Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link και RMM+ Password Link.
Οι συγκεκριμένες επεκτάσεις παρέχουν δυνατότητες απομακρυσμένης εκτέλεσης εντολών μέσω API, με πρόσβαση που προστατεύεται από κωδικό ο οποίος ορίζεται κατά την εγκατάσταση.
Συνολικά, βρέθηκαν περίπου 400 περιβάλλοντα συνεργατών στα οποία ήταν εγκατεστημένη τουλάχιστον μία από αυτές τις επεκτάσεις.
Η ConnectWise προχώρησε στην απενεργοποίησή τους όπου είχε τη δυνατότητα να παρέμβει, ενώ ζήτησε από τους οργανισμούς που διατηρούν δικές τους εγκαταστάσεις ScreenConnect να πραγματοποιήσουν οι ίδιοι την αντίστοιχη ενέργεια.
Έχει ιδιαίτερη σημασία ότι οι 400 εγκαταστάσεις δεν αντιστοιχούν σε 400 επιβεβαιωμένες παραβιάσεις.
Ο αριθμός αφορά περιβάλλοντα με τις συγκεκριμένες επεκτάσεις και η απενεργοποίηση έγινε προληπτικά, προκειμένου να περιοριστεί ένας πιθανός μηχανισμός κατάχρησης.
Σε νεότερη ενημέρωση, στις 12 Νοεμβρίου και ώρα 04:45 Ελλάδας, η ConnectWise ανέφερε ότι μέχρι εκείνη τη στιγμή δεν είχε βρει ενδείξεις παραβίασης της δικής της υποδομής ή ύπαρξης ευπάθειας στο ίδιο το ScreenConnect.
Ο ακριβής τρόπος αρχικής πρόσβασης των επιτιθέμενων εξακολουθεί να διερευνάται.
Τι πρέπει να κάνουν οι επιχειρήσεις που χρησιμοποιούν ScreenConnect
Η ConnectWise και η Huntress έχουν εκδώσει συγκεκριμένες οδηγίες για οργανισμούς που χρησιμοποιούν το λογισμικό απομακρυσμένης υποστήριξης.
Πρώτη προτεραιότητα είναι ο έλεγχος και η απενεργοποίηση των πέντε επεκτάσεων που κατονομάστηκαν, χωρίς επανεγκατάστασή τους μέχρι να υπάρξει νεότερη καθοδήγηση.
Οι διαχειριστές καλούνται επίσης να εξετάσουν τα αρχεία καταγραφής για ασυνήθιστες συνδέσεις, μη αναμενόμενη εκτέλεση εντολών, αλλαγές δικαιωμάτων και εγκαταστάσεις πρόσθετου λογισμικού απομακρυσμένης πρόσβασης.
Ιδιαίτερη προσοχή χρειάζεται σε υπολογιστές που εμφανίζουν δεύτερο ScreenConnect client χωρίς σχετική έγκριση από την ομάδα IT.
Αν υπάρχει υποψία παραβίασης, οι τεχνικοί δεν πρέπει να πραγματοποιούν διαδραστική σύνδεση ScreenConnect στον συγκεκριμένο υπολογιστή. Η διερεύνηση πρέπει να γίνεται μέσω ανεξάρτητων εργαλείων ασφαλείας, ώστε να μην ενεργοποιηθεί ο μηχανισμός που θα μπορούσε να μεταφέρει το SCKit στον σταθμό εργασίας τους.
Συστήνονται ακόμη η ανάκληση ενεργών συνεδριών, η αλλαγή σχετικών διαπιστευτηρίων από ασφαλή συσκευή, η εφαρμογή πολυπαραγοντικής ταυτοποίησης και η διερεύνηση πιθανών μηχανισμών παραμονής του κακόβουλου λογισμικού.
Η απλή απενεργοποίηση των επεκτάσεων δεν εγγυάται ότι αφαιρέθηκαν κακόβουλα προγράμματα που ενδεχομένως είχαν ήδη εγκατασταθεί.
Υπάρχει κίνδυνος για ελληνικές επιχειρήσεις;
Οι επιθέσεις μέσω λογισμικού απομακρυσμένης τεχνικής υποστήριξης έχουν ευρύτερη σημασία για τις επιχειρήσεις, επειδή ένας πάροχος IT μπορεί να διαθέτει πρόσβαση σε δεκάδες διαφορετικά εταιρικά δίκτυα.
Αν παραβιαστεί ένας τέτοιος λογαριασμός, οι επιτιθέμενοι ενδέχεται να αποκτήσουν πρόσβαση σε συστήματα περισσότερων οργανισμών, χωρίς να χρειάζεται να παραβιάσουν εξαρχής το κάθε εταιρικό δίκτυο.
Μέχρι την τελευταία επίσημη ενημέρωση δεν έχουν ανακοινωθεί συγκεκριμένα περιστατικά που να αφορούν ελληνικές επιχειρήσεις.
Ωστόσο, η προειδοποίηση αφορά και ελληνικούς οργανισμούς που χρησιμοποιούν ScreenConnect, είτε απευθείας είτε μέσω εξωτερικού παρόχου τεχνικής υποστήριξης.
Για αυτούς, ο άμεσος έλεγχος των εγκατεστημένων επεκτάσεων, των ενεργών συνδέσεων και των διαχειριζόμενων υπολογιστών αποτελεί την προτεραιότητα, καθώς η διερεύνηση της επίθεσης βρίσκεται ακόμη σε εξέλιξη.
