Serangan ScreenConnect Tembus 288 Endpoint di 48 Organisasi, ConnectWise Matikan Ekstensi Pihak Ketiga

Serangan siber yang menyalahgunakan akses ke panel ScreenConnect menyasar sedikitnya 288 endpoint terkelola di 48 organisasi. ConnectWise menonaktifkan lima ekstensi pihak ketiga sebagai langkah pencegahan, sementara Huntress menyebut aktivitas itu terdeteksi pertama kali pada 11 November 2026 pukul 17.47 UTC.

Dalam peringatan resmi yang dikutip The Hacker News, ConnectWise menegaskan tidak ada bukti insiden ini melibatkan kompromi infrastruktur mereka atau celah keamanan pada perangkat lunak ScreenConnect.

Kronologi Serangan: Dari Run Command ke Rogue Client

Huntress, perusahaan keamanan siber yang ikut melacak kampanye ini, mengungkap bahwa penyerang memakai akses ke panel ScreenConnect yang di-hosting di cloud untuk mendorong perintah Run. Tujuannya memasang klien ScreenConnect palsu—disebut rogue client—di endpoint korban.

Aktivitas itu pertama kali terdeteksi pada 11 November 2026 sekitar pukul 17.47 UTC. Hingga kini, Huntress belum menemukan bukti adanya kerentanan baru yang dieksploitasi.

"Telemetri saat ini mengarah pada kredensial yang dikompromikan atau sesi operator yang dibajak untuk mendapatkan akses awal," ujar peneliti Huntress, Ben Nahorney dan Susannah Matt, dalam laporan mereka.

Serangan berjalan seperti cacing, dengan dua tahap yang saling terkait:

• Akses awal: penyerang memakai fitur Run Command pada panel ScreenConnect yang sudah dikuasai untuk menyebarkan klien ScreenConnect palsu ke endpoint, menciptakan backdoor persisten yang tidak lagi bergantung pada panel asli.
• Pergerakan lateral: ketika teknisi terhubung ke endpoint yang terinfeksi lewat ScreenConnect, malware menyebar balik ke workstation teknisi, mencuri sesi browser dan token autentikasi, lalu berpindah ke panel ScreenConnect lain yang bisa diakses teknisi tersebut.

"Rogue client mengirimkan SCKit, toolkit berbahaya buatan sendiri yang membangun akses remote persisten dan menciptakan relay trap untuk mencegat cookie sesi," jelas Nahorney dan Matt.

SCKit dikirim sebagai payload terenkripsi melalui dropper berformat Base64 bernama sckit-run.bat. Dropper itu lalu menghubungi server remote untuk mengambil payload PowerShell sckit-decoder.ps1 yang meluncurkan toolkit tersebut.

Pihak yang Terlibat dan Pernyataan Resmi

ConnectWise menyatakan sekitar 400 lingkungan partner memiliki setidaknya satu dari lima ekstensi pihak ketiga yang dimaksud. Lima ekstensi itu adalah Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link, dan RMM+ Password Link.

Perusahaan menekankan keberadaan ekstensi saja tidak berarti terjadi kompromi. Ekstensi tersebut menyediakan API yang mampu mengeksekusi perintah remote, tetapi akses ke API dilindungi passphrase yang dikonfigurasi partner saat pemasangan.

"Penilaian awal kami menunjukkan aktivitas ini mungkin melibatkan penyalahgunaan ekstensi pihak ketiga independen yang terpasang di lingkungan partner," kata ConnectWise. "Kami terus memvalidasi penilaian ini. Metode akses awal dan cakupan penuh masih dalam penyelidikan."

ConnectWise mendesak partner on-premises menonaktifkan ekstensi tersebut. Perusahaan juga meminta semua partner memastikan kontrol keamanan berjalan, menyimpan log aktivitas mencurigakan, dan mewaspadai sejumlah tanda bahaya.

Tanda bahaya itu mencakup login tidak biasa dari lokasi asing, kegagalan login berulang, prompt MFA tak terduga, pembuatan akun administrator baru, perubahan izin pengguna, instalasi ekstensi tak terduga, aktivitas Toolbox, perangkat lunak akses remote tak resmi di perangkat pelanggan dan workstation teknisi, serta permintaan dukungan dan pesan reset kata sandi yang mencurigakan.

Sophos, dalam peringatan terpisah, juga mengamati penyebaran klien ScreenConnect tanpa izin dengan modus operandi serupa. Aktivitas itu berasal dari tiga ID instans ScreenConnect: d905b2b1b165d0a9, 4b8f4089ddaac6a9, dan df1f7ef0cfacd0d8.

"Curl.exe mengunduh ScreenConnect.ClientSetup.msi dari 185.99.255[.]28 ke C:\Windows\TEMP\sc.msi," jelas Sophos. "File perintah yang dihasilkan ScreenConnect kemudian menjalankan msiexec.exe untuk memasang klien secara diam-diam."

Indikator Kompromi dan Jejak Serangan

ConnectWise merilis sejumlah indikator kompromi (IoC) yang bisa dipakai tim keamanan untuk berburu jejak serangan. Dua alamat IP yang dicurigai adalah 185.99.255[.]28 dan 155.94.150[.]39.

Domain dan URL yang masuk daftar meliputi ns[.]mo7sen[.]dev, ns[.]mo7sen[.]dev/EadF.php?p=4, sc[.]payproofkit[.]com, cdn007-digitaldownloads[.]com, newnewnew[.]gotdns[.]org, dan Soxnewwork[.]homedns[.]org.

Artefak yang perlu diwaspadai antara lain sckit-run.bat, sckit-decoder.ps1, TrapWatch.ps1, Panel-Lateral.ps1, Run-Lateral-Full.bat, runnew.cmd, ToolboxRelayUploader.exe, dan Sqlite3.exe.

Komponen malware lain dirancang untuk menambahkan pengecualian Microsoft Defender, memasang klien ScreenConnect kedua yang dikendalikan penyerang, membuat scheduled task bernama "TrapWatch", dan mengganti instalasi ScreenConnect yang sah dengan salinan kendali penyerang.

Ada indikasi setidaknya satu skrip dihasilkan oleh model bahasa besar (LLM). Indikasinya terlihat dari referensi kode sumber dan komentar rinci yang menjelaskan fungsi skrip tersebut.

Huntress juga merekonstruksi fungsi tambahan yang dirancang menyebar dari workstation teknisi ke panel ScreenConnect. Mekanismenya memakai dropper Run-Lateral-Full.bat yang menghubungi server eksternal ns.mo7sen[.]dev untuk mengunduh loader.

Loader itu mengumpulkan ID unik workstation, mengirimkannya ke penyerang, lalu menerima kit terenkripsi yang disesuaikan untuk mesin tersebut. Di dalamnya ada Panel-Lateral.ps1 yang mencuri cookie sesi .aspxauth dan mencoba memutarnya ulang terhadap panel.

Ada pula ToolboxRelayUploader.exe yang mengunggah payload WithUninstall.ps1 ke Shared Toolbox panel. "Permintaan panel memerintahkan setiap sesi yang terjangkau menjalankan item toolbox itu," kata Huntress. "Payload ini dirancang berjalan sebagai SYSTEM di endpoint tersebut, memasang trap, dan memperpanjang siklus."

Sekitar 60 detik setelah siaran, ToolboxRelayUploader.exe menghapus item Shared Toolbox tersebut.

Dampak bagi MSP dan Pelanggan Mereka

Yang memperburuk situasi, penyerang diketahui menandai setiap managed service provider (MSP) yang dikompromikan dengan nomor berurutan. Huntress menyebut tag yang teramati dimulai dari tengah urutan, menandakan MSP lain mungkin sudah dikompromikan lebih dulu.

Pola ini penting karena ScreenConnect banyak dipakai MSP untuk mengelola ratusan hingga ribuan endpoint pelanggan dari satu panel. Jika satu panel jatuh, jangkauan serangan bisa melebar jauh melampaui satu organisasi.

Huntress mencatat belum melihat lompatan sukses dari endpoint terinfeksi ke workstation teknisi, atau dari workstation itu ke endpoint lain. Namun, tidak semua fungsi telah teramati dalam insiden yang tercatat. Sebagian fungsi ditemukan lewat analisis payload.

Pengguna ScreenConnect diminta memeriksa riwayat Run Command, bahkan jika belum menerima peringatan. Langkah ini krusial karena rogue client tidak lagi bergantung pada panel asli, sehingga backdoor bisa tetap hidup meski panel sudah diamankan.

Untuk konteks industri, insiden ini menambah daftar panjang penyalahgunaan alat akses remote sah oleh kelompok penyerang. Perangkat semacam ini sah dipakai tim TI, tetapi justru karena itu sering luput dari deteksi.

Langkah Selanjutnya: Validasi dan Pemeriksaan Internal

ConnectWise menyatakan masih memvalidasi penilaian awal mereka. Metode akses awal dan cakupan penuh insiden belum tuntas. Perusahaan juga menegaskan keberadaan ekstensi tidak otomatis berarti kompromi.

Partner on-premises diminta segera menonaktifkan ekstensi yang masuk daftar. Partner lain diminta memastikan kontrol keamanan berjalan dan menyimpan log aktivitas mencurigakan sebelum hilang atau tertimpa.

Dari sisi Huntress, rekomendasinya jelas: periksa riwayat Run Command, awasi kemunculan akun administrator baru, dan pantau instalasi ekstensi tak terduga. Perangkat lunak akses remote tak resmi di perangkat pelanggan maupun workstation teknisi juga perlu disisir.

Sumber menyebut ini sebagai kisah yang masih berkembang. Artinya, jumlah endpoint dan organisasi terdampak bisa bertambah seiring penyelidikan berlanjut.

Bagi organisasi yang memakai ScreenConnect, beberapa langkah praktis bisa dijalankan sekarang:

1. Periksa riwayat Run Command pada panel untuk perintah tak dikenal.
2. Cari scheduled task bernama "TrapWatch" dan klien ScreenConnect ganda.
3. Periksa pengecualian Microsoft Defender yang tidak sah.
4. Blokir IP dan domain yang masuk daftar IoC di gateway jaringan.
5. Audit akun administrator dan sesi operator yang aktif.

Panduan tambahan soal keamanan akses remote bisa dilihat di halaman CISA tentang remote monitoring and management.

Analisis Redaksi

Insiden ini memperlihatkan celah yang jarang dibahas: alat akses remote yang sah bisa berubah jadi senjata tanpa satu pun kerentanan baru. ConnectWise menegaskan tidak ada kompromi infrastruktur dan tidak ada celah di ScreenConnect. Huntress pun tidak menemukan bukti kerentanan anyar. Yang dieksploitasi adalah kepercayaan—kredensial, sesi operator, dan ekstensi pihak ketiga yang dipasang partner.

Karena itu, perdebatan soal siapa yang paling bersalah jadi kurang produktif. Persoalannya struktural. Ekstensi pihak ketiga memberi API yang bisa mengeksekusi perintah remote, dan proteksinya bertumpu pada passphrase yang dikonfigurasi partner. Satu passphrase lemah atau satu sesi operator yang dibajak cukup untuk membuka pintu. Angka 400 lingkungan partner dengan ekstensi terpasang menunjukkan permukaan serangnya luas, bukan sempit.

Yang paling mengganggu adalah sifat worm-like-nya. Malware menyebar balik dari endpoint korban ke workstation teknisi, lalu ke semua endpoint yang bisa dijangkau panel. Model kepercayaan MSP—satu panel mengelola banyak pelanggan—berubah jadi pengganda dampak. Penandaan MSP dengan nomor berurutan oleh penyerang menunjukkan operasi ini terencana, bukan serangan acak.

Pelajaran yang bisa dipetik sudah jelas. Riwayat Run Command harus jadi objek pemeriksaan rutin, bukan hanya saat ada peringatan. Ekstensi pihak ketiga perlu diinventarisasi dan dibatasi. Dan sesi operator mesti diperlakukan sebagai aset berkategori tinggi, lengkap dengan MFA dan pemantauan anomali. Selama itu belum jadi standar, alat yang seharusnya mempermudah pengelolaan justru jadi jalur masuk paling rapi bagi penyerang.