MSP 遠端管理平台 ScreenConnect 遭濫用派送惡意用戶端，已波及 47 個組織、逾 286 台端點

1. 2026年11月12日 凌晨1:47
   Huntress 觀察到針對雲端 ScreenConnect 的攻擊開始^[1]
2. 2026年11月12日 清晨6:56
   媒體披露 ConnectWise 正調查攻擊^[1]
3. 2026年11月12日 下午6:39
   入侵途徑指向第三方擴充套件 RMM+ 驗證漏洞，ConnectWise 停用相關擴充^[2]

   據 SecurityWeek 報導，Huntress 表示此波攻擊已入侵至少 6 家 MSP、48 個組織的 288 台主機，攻擊者在 90 分鐘內對所有受害主機下達指令，部署非法 ScreenConnect 用戶端與名為 SCKit 的惡意工具組（具持久後門、攔截工作階段 Cookie 與自我複製能力）。Huntress 指出攻擊者利用第三方 ScreenConnect 擴充套件 RMM+ 的漏洞繞過驗證：1.0.31 與 1.0.32 版若管理者未設定存取金鑰，會接受空白金鑰。ConnectWise 已在約 400 個 ScreenConnect 環境停用 Labtech Plus、RMM Plus、RMM+、RMM Plus Password Link 與 RMM+ Password Link 五個擴充套件；Huntress 與 ConnectWise 已發布入侵指標，並建議自架 ScreenConnect 的組織停用這些擴充套件。

廠商建議

1. 1
   停止對可疑裝置的互動連線 mitigate^[1]

   避免對疑似遭入侵裝置開啟互動式 ScreenConnect 連線，使用獨立工具調查。

2. 2
   檢查 Run Command 歷程與 IOC detect^[1]

   即使未收到警示也檢查 Run Command 歷程，比對 Huntress 公布的入侵指標。