Malware SCKit Bajak Sesi ScreenConnect, Ancaman Baru bagi MSP

Malware SCKit memanfaatkan celah CVE-2026-84869 di ConnectWise ScreenConnect yang sebenarnya sudah ditambal. Yang membuatnya berbahaya, toolkit ini juga membajak sesi teknisi untuk menyebar ke endpoint klien.

Kampanye yang menyasar instalasi ScreenConnect itu ternyata bukan eksploitasi kerentanan baru. Blackpoint Cyber melalui Adversary Pursuit Group (APG) memastikan toolkit penyerang yang mereka pulihkan mengeksploitasi CVE-2026-84869, celah dengan skor CVSS 9.9 yang sudah ditambal.

"Pengujian kami mengonfirmasi bahwa eksploit menargetkan CVE-2026-84869 dan patch yang ada berhasil memblokirnya," kata peneliti APG Sam Decker dan Nevan Beal, dikutip dari The Hacker News.

Kronologi Serangan dan Alur Eksekusi SCKit

Serangan dimulai ketika penyerang mengakses sebuah endpoint yang dikelola. Mereka memakai fitur Run Command bawaan ScreenConnect untuk menjalankan perintah di mesin korban.

Langkah pertama, malware memeriksa apakah ScreenConnect sudah terpasang. Setelah itu ia mengunduh dan menjalankan installer MSI yang dikendalikan penyerang, bernama sc.msi. File ini kemudian menjatuhkan dropper skrip batch sckit-run.bat.

Skrip batch tersebut menghubungi domain ns.mo7sen[.]dev untuk mengambil decoder PowerShell sckit-decoder.ps1. Dari situ sejumlah komponen SCKit mulai dipasang.

Salah satunya skrip PowerShell SilentForceInstall-WithUninstall.ps1. Skrip ini membangun akses jarak jauh persisten dengan memasang dua klien ScreenConnect Access tanpa izin. Toolkit juga membawa kumpulan skrip dan kode C# untuk mengganggu sesi Guest ScreenConnect yang sedang aktif, termasuk komponen bernama RelayTrap.

RelayTrap dan Upaya Membalik Serangan ke Teknisi

RelayTrap adalah bagian paling berbahaya dari SCKit. Komponen ini mencoba teknik eksekusi file guest-to-host yang terkait CVE-2026-84869 dengan mengganti ScreenConnect Guest yang sah.

Payload SCKit lalu dikirim balik ke teknisi yang sedang terhubung. Jika berhasil, malware mencoba memulihkan sesi browser ScreenConnect teknisi yang sudah terautentikasi.

Dari situ penyerang memakai hak akses manajemen yang sudah dimiliki teknisi untuk mendistribusikan perintah ke endpoint lain. Intinya, akses ke satu mesin korban bisa berkembang menjadi akses ke lingkungan pelanggan lain lewat infrastruktur yang sama.

"Karena perintah-perintah ini dieksekusi melalui agen ScreenConnect yang sudah ada, penyerang dapat memasang perangkat lunak tambahan dalam konteks NT AUTHORITY\SYSTEM tanpa perlu membangun metode eksekusi terpisah di setiap mesin," jelas Blackpoint Cyber.

Menurut perusahaan keamanan itu, klien Access tanpa izin memberi penyerang kendali persisten atas endpoint. Sementara RelayTrap memposisikan malware untuk mencegat koneksi dukungan yang sah.

Mengapa Teknisi MSP Menjadi Target Utama

Sasaran akhir serangan jelas: teknisi. Mereka rutin terhubung ke endpoint yang dikelola berbagai pelanggan, umumnya dari workstation dengan akses ke alat administratif dan sesi manajemen terautentikasi.

Posisi itu membuat teknisi menjadi pintu masuk ideal untuk keluar dari endpoint awal dan masuk ke lingkungan dengan hak akses lebih luas.

Begitu malware berjalan di mesin teknisi, fokusnya bergeser dari manipulasi dukungan jarak jauh menjadi pencurian sesi. Malware mencari data browser lokal dan memori proses untuk memulihkan sesi manajemen terautentikasi, yaitu cookie .ASPXAUTH.

Cookie itu bisa dipakai menyebarkan malware ke endpoint lain tanpa perlu mencuri kredensial masing-masing mesin.

"Dengan lebih dulu mencoba mengompromikan workstation teknisi, lalu memulihkan sesi ScreenConnect mereka yang terautentikasi, SCKit berupaya mengubah akses ke satu endpoint terkelola menjadi peluang menjangkau sistem lain di bawah kendali teknisi tersebut," ujar para peneliti.

Respons ConnectWise dan Status Kerentanan CVE-2026-84869

ConnectWise belum memberi komentar atas laporan ini. Namun perusahaan sudah mengambil langkah pencegahan dengan menonaktifkan lima ekstensi pihak ketiga di lingkungan mitra.

Blackpoint Cyber menyatakan tidak menemukan keterkaitan teknis antara ekstensi tersebut dan SCKit.

Hingga berita ini ditulis, belum ada bukti bahwa aktivitas itu berhasil menyebar ke workstation teknisi atau menembus patch vendor untuk CVE-2026-84869.

CVE-2026-84869 sendiri pernah dieksploitasi dalam sejumlah serangan sebelumnya. Saat itu pelaku memakai ScreenConnect untuk menyebarkan payload VBScript empat tahap ke sistem yang baru terhubung, lalu menjalankan penambang kripto XMRig.

Celah ini masuk katalog Known Exploited Vulnerabilities (KEV) milik CISA pada 11 September 2026. Lembaga itu mewajibkan instansi federal menerapkan perbaikan paling lambat 14 September 2026.

Langkah Pengamanan yang Perlu Diambil MSP

Temuan ini menegaskan dua hal yang harus ditangani bersamaan: menambal klien ScreenConnect dan memperkuat perlindungan sesi operator.

Blackpoint Cyber menyarankan validasi sesi yang lebih ketat serta autentikasi tambahan untuk aksi administratif berskala besar. Menambal menutup eksploit yang diketahui, tetapi tidak menghapus risiko dari sesi operator yang sudah diambil alih.

Beberapa langkah yang layak diprioritaskan:

• Pastikan semua klien ScreenConnect sudah memakai versi yang ditambal untuk CVE-2026-84869.
• Audit jejak pemasangan klien Access yang tidak sah di endpoint pelanggan.
• Periksa riwayat perintah administratif dan workstation teknisi yang pernah terhubung ke sistem mencurigakan.
• Terapkan autentikasi tambahan untuk aksi administratif massal.
• Pantau sesi browser teknisi dan lakukan invalidasi sesi bila ada aktivitas mencurigakan.

"Bagi MSP, pelajaran praktisnya adalah menyelidiki hubungan manajemen, bukan hanya endpoint. Instalasi Access yang tidak sah, riwayat perintah administratif, workstation teknisi, dan sesi browser semuanya perlu diperhatikan, terutama ketika personel dukungan sudah terhubung ke sistem yang dicurigai," kata para peneliti.

Informasi lebih lanjut soal taktik penyerang bisa dipantau lewat pembaruan dari katalog KEV CISA dan laporan vendor keamanan.

Analisis Redaksi: Patch Bukan Akhir dari Masalah

Kisah SCKit memperlihatkan pola yang makin sering muncul: penyerang tidak selalu butuh celah baru. Mereka cukup memakai fitur sah dari alat yang dipercaya, lalu membajak kepercayaan yang sudah tertanam di dalamnya.

ScreenConnect adalah alat bantu sah yang dipakai ribuan penyedia layanan terkelola. Justru karena posisinya sebagai infrastruktur tepercaya, alat ini menjadi jalur masuk yang efisien. Ketika satu endpoint terkelola jatuh, penyerang tidak berhenti di situ. Mereka menaiki tangga ke workstation teknisi, lalu ke seluruh lingkungan pelanggan.

Respons ConnectWise yang menonaktifkan lima ekstensi pihak ketiga patut diapresiasi sebagai langkah kehati-hatian. Namun Blackpoint Cyber sendiri menyatakan tidak ada kaitan teknis antara ekstensi itu dan SCKit. Artinya, tindakan tersebut belum menyentuh akar persoalan: sesi operator yang bisa dicuri.

Di sinilah banyak MSP masih lengah. Patch rutin dianggap selesai urusan. Padahal cookie sesi yang dicuri bisa melewati semua tembok autentikasi tanpa memicu alarm. Validasi sesi yang lebih ketat dan autentikasi tambahan untuk aksi massal bukan lagi kemewahan, melainkan kebutuhan dasar.

Yang perlu dicatat, hingga kini belum ada bukti penyebaran berhasil ke workstation teknisi. Itu kabar baik. Tetapi toolkit yang dirancang khusus untuk membalik serangan ke teknisi menunjukkan arah ancaman yang makin terarah. Bagi industri MSP, pertanyaannya bukan apakah serangan serupa akan terulang, melainkan seberapa siap mereka menghadapinya.