أداة تشبه الدودة تُسمى SCKit اخترقت ما لا يقل عن 288 نقطة نهاية مُدارة عبر 48 منظمة. حدث الاختراق من خلال إساءة استخدام ConnectWise ScreenConnect panels، وفقًا لمصادر متعددة.

تم اكتشاف الهجوم لأول مرة في 11 نوفمبر 2026، حوالي الساعة 5:47 مساءً بتوقيت UTC. لاحظت Huntress أن جميع الأجهزة الـ288 تم اختراقها في غضون حوالي 90 دقيقة، حيث تأثرت حوالي ثلثها في أول 10 دقائق.

استغل المهاجمون ثغرات في امتدادات RMM+، وتحديدًا الإصدارات 1.0.31 و1.0.32، مما سمح لهم بتجاوز المصادقة عن طريق قبول مفاتيح الوصول الفارغة. تم تأكيد هذا الاستغلال من قبل Huntress.

تقوم أداة SCKit بإنشاء وصول عن بُعد مستمر وتُنشئ فخًا لاعتراض ملفات تعريف الارتباط للجلسات. يتضمن مسار العدوى نشر عملاء ScreenConnect مزيفين عبر نقاط النهاية وربما الانتشار إلى محطات عمل الفنيين.

قامت ConnectWise بتعطيل خمسة امتدادات تابعة لجهات خارجية في بيئات الشركاء كإجراء احترازي. ومع ذلك، صرحت ConnectWise بأنه لا يوجد دليل على اختراق بنيتها التحتية أو وجود ثغرة في برنامج ScreenConnect نفسه.

يُنصح المدافعون بتجنب الاتصال بالأجهزة المشبوهة عبر ScreenConnect لمنع انتشار البرمجيات الخبيثة. لا تزال طريقة الوصول الأولية غير واضحة، ولم يتم تحديد أي ثغرات جديدة.