CVE-2026-84869 in ScreenConnect: Wurmartige VBScript-Angriffe

Die kritische Schwachstelle CVE-2026-84869 (CVSS 9.9) in den Client-Komponenten von ConnectWise ScreenConnect wird aktiv für die wurmartige Verbreitung bösartiger VBScript-Ketten ausgenutzt. Laut der Untersuchung von Huntress wurden im August 2026 mindestens drei voneinander unabhängige Vorfälle registriert, bei denen kompromittierte ScreenConnect-Clients automatisch eine schädliche Nutzlast an jedes neu verbundene System auslieferten. Betroffen sind alle ScreenConnect-Versionen bis 26.6.5 – sowohl Cloud- als auch On-Premises-Installationen. Organisationen, die ScreenConnect einsetzen, müssen umgehend ein Update durchführen oder die Funktion zur Dateiübertragung deaktivieren.

Schwachstelle und Umfang des Problems

Laut der offiziellen Sicherheitsmitteilung von ConnectWise beschreibt CVE-2026-84869 einen Fehler in der Verarbeitung von Dateiübertragungen auf der Client-Seite von ScreenConnect. Die Schwachstelle erlaubt es, Dateien über eine aktive Remote-Sitzung zu übertragen und auszuführen, ohne dass eine ordnungsgemäße Autorisierung oder Bestätigung durch den Host erfolgt – einschließlich Aktionen mit erhöhten Rechten. Die Bewertung nach CVSS 3.1 lautet 9.9 Critical (Vektor: AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H) und weist auf einen netzwerkbasierten Angriffsvektor mit geringer Komplexität und ohne notwendige Benutzerinteraktion hin.

Wichtige Klarstellung: Die Server-Komponente von ScreenConnect ist nicht direkt betroffen. Die Cloud-Server von ConnectWise wurden bereits aktualisiert, jedoch benötigen die Client-Agenten (Host-Clients und Access-Agents) ein Update. Für lokale Installationen ist ein Upgrade auf Version 26.6.5 oder neuer erforderlich.

Angriffsmechanismus: vierstufige VBScript-Kette

Huntress registrierte drei Vorfälle mit unterschiedlichen Methoden für den initialen Zugriff, jedoch identischer anschließender Infektionskette:

• Quick-Assist-Betrug (20. August 2026) – Social Engineering unter dem Vorwand von technischem Support führte zur Installation eines gefälschten ScreenConnect-Clients, der sich mit einem C2-Server unter 45.13.237[.]190 (Domain tele-sync.opik[.]net) verband.
• Phishing über MSI-Installer (20. August 2026) – die Datei ScreenConnect.ClientSetup.msi, mutmaßlich per Phishing zugestellt, installierte einen Client, der mit 131.123.40[.]98 auf Port 8041 kommunizierte.
• Gefälschtes Geek-Squad-Rückerstattungsformular (24. August 2026) – ein Nutzer lud ScreenConnect.Client.exe herunter, das eine Verbindung zu borertors92.anondns[.]net herstellte.

In allen Fällen startete das System nach der Installation des gefälschten ScreenConnect-Clients wiederholt wscript.exe, um nacheinander vier VBScript-Dateien auszuführen:

• 1.vbs – profiliert den Host: prüft den verfügbaren Arbeitsspeicher (Schwelle – 5 GB), das Vorhandensein einer installierten ScreenConnect-Instanz und listet Sicherheitslösungen auf (Cisco AMP, CrowdStrike, Huntress, Malwarebytes, SentinelOne, Sophos, Symantec Endpoint Protection). Das Ergebnis wird als dreibitige Statusvariable in %TEMP%\value.txt gespeichert.
• 2.vbs – wartet auf die Datei value.txt, prüft, ob das Wort „abort“ nicht enthalten ist, und lädt von Dropbox eine Datei herunter, deren Inhalt nach %TEMP%\map.txt dekodiert wird.
• 3.vbs – lädt basierend auf dem Statuswert aus value.txt die passende Nutzlast über den in map.txt hinterlegten Link herunter und speichert sie als %TEMP%\out.enc.
• 4.vbs – startet das PowerShell-Skript runner.ps1, das out.enc entschlüsselt, das Ergebnis unter %APPDATA%\Microsoft\Windows\Templates\Classic\sys_cache.zip ablegt und ein zweites Skript PyTorchFix.ps1 ausführt.

Adaptive Payload

Der dreibitige Statuswert bestimmt, welcher Werkzeugsatz auf das kompromittierte System ausgeliefert wird:

• 000 / 001 – ScreenConnect-Backdoor auf Benutzerebene.
• 010 – Werkzeuge zur Privilegienerhöhung über UAC-Umgehung (unter Verwendung einer Manipulation des Protokoll-Handlers ms-settings und von ComputerDefaults.exe), AMSI-Umgehung, Hinzufügen weitreichender Ausnahmen in Microsoft Defender und Installation eines versteckten ScreenConnect-Clients.
• 011 – Tunneling-Tools und der Kryptominer XMRig (getarnt als SearchIndex.exe), mit Deaktivierung der Defender-Berichterstattung, Abschaltung der Speicher-Integritätsschutzfunktion (HVCI) und Einsatz des verwundbaren Treibers svcdrv64.sys (WinRing0).

Wurmartige Verbreitung

Das zentrale Merkmal dieser Kampagne ist der Selbstverbreitungsmechanismus. Nach der Kompromittierung eines Hosts verpackt der modifizierte ScreenConnect-Client die vierstufige VBScript-Kette und führt sie auf jedem neuen Verbindungsziel aus. Das Skript 4.vbs kopiert bei Statuswerten 010 oder 011 die VBScript-Dateien nach C:\Users\Public\Libraries\Default\Lib\Lib1 und verwandelt das infizierte System damit in einen Auslieferungsmechanismus für Schadcode.

Das System verfolgt Verbindungskennungen (ConnectionID), um ein und dieselbe aktive Sitzung nicht mehrfach anzugreifen. Nach dem Trennen einer Verbindung wird die Kennung jedoch gelöscht – ein erneuter Verbindungsaufbau löst den Infektionsversuch erneut aus. Dies schafft einen beständigen Verbreitungszyklus über die ScreenConnect-Infrastruktur. Es ist jedoch wichtig zu betonen, dass es sich nicht um eine autonome Selbstreplikation handelt, sondern um eine Verbreitung über den Verbindungs- und Dateiübertragungsmechanismus von ScreenConnect.

Indikatoren einer Kompromittierung

Laut Huntress wurden die folgenden netzwerkbezogenen Indikatoren festgestellt:

• IP-Adressen:45.13.237[.]190, 131.123.40[.]98, 146.59.55[.]107, 45.32.192[.]150, 15.204.185[.]204
• Domains:tele-sync.opik[.]net, borertors92.anondns[.]net, homehub.opik[.]net
• Registry-Schlüssel:HKCU\Software\Microsoft\Windows\CurrentVersion\Run → WindowsServiceHost
• Charakteristische Dateien:WindowsServiceHost.vbs, WindowsServiceHost.bat, PyTorchFix.ps1, SearchIndex.exe, svcdrv64.sys, Themes.exe

Auf einigen kompromittierten Hosts wurden außerdem zusätzliche Remote-Management-Tools entdeckt, darunter UltraViewer. Eine Zuordnung der Kampagne zu einer bestimmten Gruppe liegt derzeit nicht vor.

Empfehlungen zur Reaktion

Prioritäre Maßnahmen für Organisationen, die ScreenConnect einsetzen:

1. ScreenConnect aktualisieren auf Version 26.6.5 oder neuer (Huntress empfiehlt 26.6.6). Dadurch wird CVE-2026-84869 behoben.
2. Übergangsmaßnahme bis zum Update: die Berechtigung TransferFiles (oder TransferFilesInSession für ältere Versionen) für alle Rollen im Bereich Administration → Security → Roles deaktivieren.
3. ScreenConnect-Audit-Logs prüfen auf Einträge RunFiles oder RanFiles, die vom Prozess Guest ausgelöst werden und verdächtige Skripte starten.
4. Auf Indikatoren einer Kompromittierung prüfen: Registry-Schlüssel WindowsServiceHost, Dateien value.txt, map.txt, out.enc im Verzeichnis %TEMP% sowie sys_cache.zip im Templates-Verzeichnis.
5. Kompromittierte Hosts – Huntress empfiehlt nachdrücklich ein vollständiges Neuaufsetzen aus einem nachweislich sauberen Image oder eine Neuinstallation des Betriebssystems.

Die Kombination aus der kritischen CVSS-Bewertung 9.9, der bestätigten Ausnutzung in realen Angriffen und dem Selbstverbreitungsmechanismus macht diese Schwachstelle zu einer der am dringendsten zu beseitigenden. Organisationen mit ScreenConnect-Installationen sollten das Update auf Version 26.6.5+ als Notfallmaßnahme betrachten und bei Feststellung eines der beschriebenen Indikatoren unmittelbar zur vollständigen Neuinstallation der betroffenen Systeme übergehen, statt zu versuchen, diese „vor Ort“ zu bereinigen.