ScreenConnect'in sahibi ConnectWise'ın Tampa'daki genel merkezi; bina tepesinde ConnectWise tabelası

Saldırganlar, 11 Kasım 2026'da Türkiye saatiyle 20.47 civarında (17.47 UTC) başlayan siber saldırı kampanyasında, bulutta barındırılan birden fazla ScreenConnect panelinin «Komut Çalıştır» (Run Command) özelliğini kullanarak yönetilen bilgisayarlara toplu komut gönderdi. Güvenlik şirketi Huntress tarafından tespit edilen olayda, Huntress müşterileri arasındaki en az 48 kurumdaki 288 bilgisayar 90 dakika içinde etkilendi; etkilenen bilgisayarların yaklaşık üçte birine ilk 10 dakikada ulaşıldı. Huntress ilk açıklamasında 6 BT hizmet sağlayıcısının (MSP) ele geçirildiğini bildirdi. Etkilenen kurum ve şirketlerin adları açıklanmadı.

Saldırı nasıl yapıldı

ConnectWise bünyesindeki ScreenConnect, BT hizmet sağlayıcıları ve şirket BT ekiplerinin müşteri bilgisayarlarına uzaktan bağlanıp destek verdiği bir uzaktan erişim yazılımı olarak kullanılıyor. Gönderilen toplu komut, SYSTEM yetkisiyle önce saldırgan kontrolündeki ikinci bir ScreenConnect istemcisini sessizce kurdu, ardından SCKit adı verilen araç setini indirdi. Saldırganlar bu sayede hizmet sağlayıcının panelinin dışında doğrudan erişim elde etti.

PowerShell ve batch betiklerinden oluşan 16 dosyalık SCKit paketi, her bilgisayara özel şifreli biçimde iniyor. Paket, Microsoft Defender üzerinde istisna tanımlıyor, «TrapWatch» adlı zamanlanmış bir görev oluşturuyor ve meşru ScreenConnect istemcisini durdurup yerine saldırganın kopyasını koyuyor. Huntress'e göre araç setindeki bir bileşenin kaynak kodu yapay zekâ ile üretilmiş görünüyor. Etkilenen sistemler arasında yazılımın en güncel 26.6.6.9747 ve 26.7.6.9783 sürümleri de yer alıyor.

Teknisyeni hedef alan tuzak

Kod analizine göre SCKit, enfekte bilgisayara ScreenConnect ile bağlanan teknisyeni hedef alıyor. Bağlantıdan 2,5 saniye sonra teknisyenin bilgisayarına dosya aktarılıyor, oturum çerezi çalınıp panelde yeniden kullanılmaya çalışılıyor ve teknisyenin erişebildiği tüm bilgisayarlara yayılmak hedefleniyor. Huntress, bu yayılmanın başarılı olduğunu şu ana kadar görmediğini ve incelenen kayıtlardaki panel ele geçirme denemelerinin başarısız kaldığını yazdı. ConnectWise da teknisyen bilgisayarlarının ele geçirildiğine dair raporların henüz teyit edilmediğini belirtti.

ConnectWise eklentileri kapattı

ConnectWise, 11 Kasım 2026'da 22.45 UTC'de (Türkiye saatiyle 12 Kasım 2026 saat 01.45) yayımladığı güvenlik duyurusunda bazı iş ortağı ScreenConnect ortamlarına yetkisiz erişimi ve müşteri ortamlarına yetkisiz uzaktan erişim yazılımı kurulduğunu doğruladı. Şirket, olayla bağlantılı olabilecek beş bağımsız üçüncü taraf eklentiyi (Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link ve RMM+ Password Link) önlem olarak yaklaşık 400 iş ortağı ortamında devre dışı bıraktı. Uzaktan komut çalıştırabilen ve parolayla korunan bir API sunan bu eklentilerin kurulu olması, tek başına sistemin ele geçirildiği anlamına gelmiyor.

ConnectWise'ın 12 Kasım 2026 saat 02.45 UTC tarihli güncellemesine göre şirket altyapısının ele geçirildiğine veya ScreenConnect yazılımının kendisinde bir açık bulunduğuna dair kanıt tespit edilmedi; ilk erişim yöntemi ve olayın tam kapsamı inceleniyor. Yazılımı kendi sunucusunda çalıştıranların eklentileri kendisinin kapatması gerekiyor. ConnectWise, şüpheli cihazlara ScreenConnect oturumu açılmamasını, oturumların sonlandırılmasını, parolaların güvenilir bir cihazdan sıfırlanmasını ve çok faktörlü doğrulamanın kontrolünü önerdi.

Giriş yolu henüz bilinmiyor

Huntress, saldırganların hizmet sağlayıcı ortamlarına nasıl girdiğini henüz belirlemedi ancak verilerinin çalıntı kimlik bilgilerine veya ele geçirilmiş operatör oturumlarına işaret ettiğini söyledi. Huntress yetkilisi Spike Brandt, BleepingComputer'a «Bu, meşru işlevin kötüye kullanımı gibi görünüyor» dedi. Saldırganların kullandığı sıralı etiketler, başka sağlayıcıların daha önce ele geçirilmiş olabileceğini düşündürüyor. Huntress, uyarı almayan kurumlara da «Komut Çalıştır» geçmişini incelemeyi önerdi. Saldırganın kimliği açıklanmadı.

Türkiye açısından

ScreenConnect, şirketlerin BT desteğini dışarıdan aldığı hizmet sağlayıcıların yaygın kullandığı uzaktan erişim araçları arasında bulunuyor. Olayda Türkiye'den etkilenen bir kurum olduğuna dair bilgi açıklanmadı; Huntress'in paylaştığı sayılar yalnızca kendi müşterilerini kapsıyor. BT hizmetini dışarıdan alan kurumlar açısından temel risk, tek bir BT hizmet sağlayıcısı panelinin ele geçirilmesinin o sağlayıcının tüm müşterilerine erişim anlamına gelmesinden kaynaklanıyor.

Kaynaklar

Kapak görseli: ConnectWise basın kiti (kırpıldı, 1200x675).