Malware nutzt ConnectWise ScreenConnect zur Verbreitung

Cybersecurity-Forscher haben Details zu einer neuen Malware-Aktivität veröffentlicht, die ConnectWise ScreenConnect ausnutzt, um ein schädliches Visual Basic Script (VBScript) an neu verbundene Systeme zu verteilen. Diese Aktivitäten wurden von der Sicherheitsfirma Huntress entdeckt und zeigen ein worm-ähnliches Verhalten, das sich über verschiedene Initialzugriffswege verbreitet. Die Forscher identifizierten drei voneinander unabhängige Vorfälle, die unterschiedliche Methoden zur ersten Kompromittierung verwendeten. Dazu gehören ein Quick Assist-Technik-Support-Betrug, ein über Phishing verbreiteter MSI-Installer und ein gefälschter Zugang zu Remote-Desktop-Diensten. Diese Vielfalt an Angriffsmethoden deutet auf eine koordinierte Strategie hin, um die Malware zu verbreiten.

Die Malware nutzt die Remote-Desktop-Funktionalität von ConnectWise ScreenConnect, um sich auf neu verbundenen Hosts zu installieren. Nach der ersten Infektion wird das VBScript ausgeführt, das dann weitere schädliche Aktivitäten initiiert. Die Forscher haben festgestellt, dass die Malware in der Lage ist, sich selbst zu replizieren und auf andere Systeme im Netzwerk zuzugreifen. Ein zentraler Aspekt der Malware ist die Fähigkeit, sich über verschiedene Netzwerke hinweg zu verbreiten, was die Erkennung und Bekämpfung erschwert. Die Forscher haben beobachtet, dass die Malware in der Lage ist, sich in Unternehmensnetzwerken zu bewegen, indem sie Schwachstellen in der Netzwerksicherheit ausnutzt.

Dies könnte zu erheblichen Sicherheitsrisiken für betroffene Unternehmen führen. Die Sicherheitsfirma hat empfohlen, dass Unternehmen ihre Systeme auf die neuesten Sicherheitsupdates überprüfen und sicherstellen, dass alle Remote-Desktop-Dienste ordnungsgemäß konfiguriert sind. Insbesondere sollten Administratoren darauf achten, dass nur autorisierte Benutzer Zugriff auf Remote-Desktop-Dienste haben. Die Implementierung von Multi-Faktor-Authentifizierung könnte ebenfalls helfen, unbefugten Zugriff zu verhindern. Die Forscher haben auch darauf hingewiesen, dass die Malware in der Lage ist, sich in bestehende Sicherheitslösungen einzuschleusen, was die Erkennung durch herkömmliche Antivirenprogramme erschwert.

Die Verwendung von Verhaltensanalysen und fortschrittlichen Bedrohungserkennungssystemen wird empfohlen, um die Malware frühzeitig zu identifizieren und zu neutralisieren. Die Vorfälle, die von Huntress dokumentiert wurden, zeigen, dass die Malware in der Lage ist, sich schnell zu verbreiten und in verschiedenen Umgebungen aktiv zu bleiben. Die Forscher haben festgestellt, dass die Malware in mindestens 10 verschiedenen Unternehmen nachgewiesen wurde, was auf eine weitreichende Bedrohung hinweist. Die Sicherheitsgemeinschaft wird aufgefordert, wachsam zu bleiben und die neuesten Informationen über diese Bedrohung zu verfolgen.

Forscher von Huntress haben angekündigt, weitere Analysen durchzuführen, um die Verbreitungsmuster der Malware besser zu verstehen und geeignete Gegenmaßnahmen zu entwickeln. Die genaue Anzahl der betroffenen Systeme könnte in den kommenden Wochen steigen, da weitere Vorfälle gemeldet werden. Die Malware-Aktivitäten wurden erstmals im September 2026 identifiziert, und die Forscher arbeiten daran, die Auswirkungen auf die betroffenen Unternehmen zu bewerten. Die Sicherheitslage bleibt angespannt, da Unternehmen weiterhin mit der Bedrohung durch diese Art von Malware konfrontiert sind.