ScreenConnect-Wurm: Angreifer infizieren Netzwerke automatisiert

Sicherheitsanalysten haben eine neue Angriffswelle identifiziert, bei der manipulierte Versionen der Fernwartungssoftware ScreenConnect zur Infektion von Unternehmensnetzwerken genutzt werden.

Die Experten von Huntress berichten von nicht autorisierten Installationen auf Endgeräten in verschiedenen Organisationen, die ursprünglich keine Verbindung zu dieser Software aufweisen sollten. Das beobachtete Muster der Ausbreitung deutet auf eine potenzielle wurmartige Aktivität hin, bei der sich die Schadsoftware eigenständig über verbundene Systeme verteilt.

Nach Erkenntnissen der Analysten begann die Beobachtung dieser verdächtigen Aktivitäten bereits Ende August 2026. Die Angreifer gehen dabei technisch spezifisch vor: Sie nutzen die legitime Windows-Komponente wscript.exe, um eine Kette von VBScript-Dateien auszuführen. Diese Skripte, die im Dateisystem als 1.vbs bis 4.vbs identifiziert wurden, spielen eine zentrale Rolle bei der Infektion und der weiteren Steuerung der betroffenen Systeme.

Ein kritischer Punkt der aktuellen Kampagne ist die Art und Weise, wie die Angreifer ihre Präsenz auf den Rechnern absichern. Die Persistenz wird über den sogenannten WindowsServiceHost Run Key in der Windows-Registry hergestellt. Dieser Mechanismus sorgt dafür, dass die schädlichen Prozesse bei jedem Systemstart automatisch geladen werden, was eine dauerhafte Kompromittierung ermöglicht.

Angriffe auf Unternehmensnetzwerke werden immer komplexer und nutzen gezielt rechtliche sowie technische Grauzonen aus. Erfahren Sie in diesem kostenlosen E-Book, wie Sie aktuelle Bedrohungen frühzeitig erkennen und gesetzliche Sicherheitsvorgaben ohne hohe Investitionen umsetzen. Cyber Security Trends für Unternehmen jetzt kostenlos herunterladen

Die besondere Gefahr geht jedoch von der Verteilungsmethode aus. Den Berichten zufolge werden modifizierte ScreenConnect-Clients dazu eingesetzt, die erwähnte VBScript-Kette aktiv auf andere Endpunkte zu übertragen, die mit dem bereits infizierten Host in Verbindung stehen. Dieses automatisierte Vorgehen ermöglicht eine schnelle Verbreitung innerhalb einer Organisation, ohne dass jeder einzelne Zielrechner manuell von den Hintermännern angegriffen werden muss.

Im Rahmen der forensischen Untersuchung konnten zudem mehrere Server identifiziert werden, die für die Kommunikation mit den infizierten Systemen genutzt werden.

Zu diesen Command-and-Control-Servern gehören die IP-Adressen 45.13.237[.]190, 131.123.40[.]98 sowie 15.204.185[.]204. Die Analysten von Huntress haben nach eigenen Angaben bereits den Austausch mit ConnectWise gesucht, dem Entwickler der betroffenen Software, um die Vorfälle weiter aufzuklären und die Sicherheitslage zu bewerten.

Da Hacker zunehmend auf die psychologische Manipulation von Mitarbeitern und die Ausnutzung von Standard-Software setzen, ist proaktive Prävention für Firmen essenziell. Dieser Gratis-Report zeigt Ihnen in vier konkreten Schritten, wie Sie die Abwehr Ihres Unternehmens gegen moderne Cyberkriminalität stärken. Anti-Phishing-Paket zur Hacker-Abwehr gratis sichern

Der Vorfall verdeutlicht erneut, dass Angreifer verstärkt auf den Missbrauch legitimer Administrationswerkzeuge setzen, um Sicherheitslösungen zu umgehen. Da ScreenConnect in vielen professionellen IT-Umgebungen als Standardwerkzeug für den Fernzugriff dient, wird der entsprechende Netzwerkverkehr oft als unbedenklich eingestuft.

Die Entdeckung der wurmartigen Dynamik zeigt jedoch, dass gerade diese Vertrauensstellung ausgenutzt werden kann, um ganze Infrastrukturen zu gefährden. IT-Verantwortlichen wird empfohlen, ihre Endpunkte auf unautorisierte ScreenConnect-Instanzen und ungewöhnliche Aktivitäten im Zusammenhang mit VBScripts zu prüfen.

de | wissenschaft | 70049153 |