身处硅谷,远程管理工具早已是科技企业的日常,而摩洛哥信息系统安全总局(DGSSI)于2026年11月12日发布的警报(编号71001211/26)在风险和影响两方面均被列为“严重”级别,这引起了我的关注,原因很简单:它再次表明,服务提供商一旦遭到入侵,几分钟内就可能波及数十家机构。
一场有组织的攻击行动控制了至少六家托管服务提供商(MSP)的管理控制台,这些提供商均使用 ConnectWise ScreenConnect 的云端版本。仅用90分钟,攻击者就向全球48家机构的至少288台计算机下发了命令,这是根据DGSSI转述的信息以及Huntress等研究人员的观察得出的。这并不是软件本身存在惊人的漏洞,而是合法工具被劫持,由此给数字经济带来了更为广泛的结构性问题。
给企业的一次警示
许多公司把IT设备的管理交给MSP,这些服务商因此成为风险的集中点。通过外包运维,企业提高了效率,降低了内部成本,但同时也向合作伙伴开放了大范围的访问权限。一旦某个控制台失陷,就可能成为攻击多个客户的跳板。
ConnectWise ScreenConnect 是该生态中使用最广泛的远程接入工具之一:技术人员可以借助它访问设备、执行命令并完成维护操作,无需亲赴现场。这些日常不可或缺的功能,一旦被滥用就会变得十分危险。DGSSI正是强调了这一机制:最初仅限于某一服务商的入侵,可能迅速在其客户的网络中蔓延。
其经济影响是直接的。一次失陷可能导致机密数据被访问、额外恶意软件被安装、业务中断,或为勒索软件攻击做好准备。在战略层面,它动摇了人们对IT供应链的信任,而这对从中小企业到外包IT的大型集团在内的各类企业都是敏感议题。在摩洛哥,DGSSI(隶属于国防部管理机构)发布这一警报,也体现出国家层面对国际性威胁的警惕。
攻击经过与SCKit的作用
根据DGSSI汇总的数据和Huntress的分析,攻击者劫持了ScreenConnect合法的“Run Command”功能,安装了一个由其控制的第二个远程连接客户端,同时植入了名为SCKit的恶意工具。该工具旨在维持持久驻留:它可以安装未经授权的客户端,修改Microsoft Defender设置以削弱防护,利用Windows功能(如AppLocker)阻止管理员使用某些修复工具,并创建名为“TrapWatch”的计划任务。
SCKit还包含用于窃取技术人员管理会话的机制,其潜在目的是向其他ScreenConnect控制台扩散。其中部分传播能力已在代码中被观察到,不过并非所有能力都在已记录的事件中被系统性地发现实际运行。主要受影响的ScreenConnect版本为26.6.6.9747和26.7.6.9783,均为较新的构建版本。
目前正在调查的一条线索涉及第三方扩展RMM+某些版本(1.0.31和1.0.32)中的身份验证缺陷。当管理员从未配置访问密钥时,系统可能接受空密钥,从而绕过ScreenConnect常规的身份验证机制(账户、角色和多因素认证)。这一缺陷只是一条线索,最初的入口点尚未正式确认。ConnectWise表示,目前没有任何迹象表明其自身基础设施遭到入侵,或ScreenConnect本身的漏洞被利用。该厂商已在其可访问的约400个环境中预防性地停用了RMM+系列的多个扩展(Labtech Plus、RMM Plus、RMM+、RMM Plus Password Link和RMM+ Password Link),同时提醒这些扩展的存在本身并不能证明系统已被入侵。
此次攻击的关键数据
- 至少六家MSP的管理控制台遭到入侵。
- 48家机构中至少288台计算机受到影响。
- 命令在90分钟内扩散(据Huntress观察,相当一部分发生在最初几分钟内)。
- ConnectWise出于预防在约400个环境中停用了扩展。
建议措施与补丁的局限
DGSSI呼吁各机构及其服务商立即检查是否存在这些扩展并将其停用,包括本地部署(on-premises)的安装,且在厂商发布新的指示之前不要重新启用。它建议撤销当前活跃的管理会话,更换密码和令牌,限制“Run Command”和“Shared Toolbox”的权限,检查日志中是否存在异常连接、未经授权的安装或管理员账户的创建,并且不要使用ScreenConnect去调查可疑设备。企业应当向其服务商询问所使用的RMM工具,以及哪些账户拥有特权访问权限。
该机构强调了一个关键点:仅仅更新软件并不能保证彻底清除可能存在的入侵,攻击者可能已经安装了持久化机制。ConnectWise方面则在继续调查,并呼吁合作伙伴加固其环境。
结语
这次攻击印证了业内一个熟悉的模式:远程监控与管理(RMM)工具以及远程访问工具因其高效率而备受青睐,却也集中了供应链风险。此前的一些事件(例如涉及其他远程管理方案的事件)已经表明,攻破一家MSP就能同时触达众多客户。此次,速度之快(90分钟内波及数百台设备)以及SCKit的复杂程度(持久驻留、规避防御、试图通过技术人员传播),都使形势更加紧迫。
从ConnectWise的角度看,此次事件似乎源于第三方扩展被滥用,而不是其核心产品存在缺陷。而研究人员则强调RMM+中的身份验证缺陷以及SCKit的设计。DGSSI将该警报定为严重级别,强调需要立即响应,并指出企业系统的安全也取决于其合作伙伴的安全。
对企业而言,问题已不止于技术层面:需要重新审视与服务商的合同、访问控制、网络分段以及对RMM活动的监控。合作伙伴一旦被入侵,即使企业自身的防护并无直接缺陷,其系统也可能暴露。从宏观层面看,这引发了对数字供应链韧性,以及软件厂商、服务商和客户之间责任共担的思考。
调查仍在继续。确切的初始攻击途径和完整的影响范围仍在调查之中。在远程访问工具无处不在的背景下,这一警报呼吁大家提高警惕,而不仅仅是做好更新。
常见问题
DGSSI是否确认ConnectWise的基础设施遭到入侵?
没有。该机构转述了ConnectWise的说法:目前没有任何迹象表明其基础设施遭到入侵,或ScreenConnect本身存在漏洞。最初的入口点仍在调查之中。
仅仅更新ScreenConnect就足以保护系统安全吗?
不够。DGSSI强调,攻击者可能已经安装了持久化机制。必须进行深入检查(停用扩展、撤销会话、分析日志)。
哪些机构受影响最大?
使用ScreenConnect云端版本并启用RMM+系列扩展(Labtech Plus、RMM Plus、RMM+、RMM Plus Password Link、RMM+ Password Link)的机构,或其服务商使用这些扩展的机构。本地部署(on-premises)的安装同样需要检查。
对于MSP的客户企业,具体风险有哪些?
系统被未经授权访问、恶意软件被安装、业务运营受到干扰,或为更具破坏性的攻击做准备。这些风险属于潜在风险,取决于服务商被入侵的范围。
