ConnectWise 於十一月十二日上午（協調世界時二時四十五分）更新安全公告，指正在調查部分夥伴的 ScreenConnect 遠端支援環境遭未授權存取。官方表示，目前未發現自身基建失陷，亦未證實產品本身存在漏洞；初步研判活動可能涉及獨立第三方擴充功能被濫用，但仍在核實，初始入侵途徑與完整影響範圍尚未確定。資安公司 Huntress 稍早觀察到，攻擊者利用雲端面板的「執行命令」功能，在其客戶範圍內至少二百八十八部受管終端、四十八間機構安裝偽冒 ScreenConnect 用戶端，並部署名為 SCKit 的工具包。來源真實性已核對 ConnectWise 信託中心公告及 Huntress 官方報告。
ConnectWise／Huntress／官方：調查 ScreenConnect 夥伴環境未授權存取——尚未見自身基建或產品漏洞；已預防性停用約四百個環境的指定第三方擴充功能；Huntress 見至少二百八十八部終端受影響
遠端監控與管理（RMM）工具一旦被濫用，攻擊者便可沿服務供應商的支援通道，一次觸及多家客戶的終端。ConnectWise 在信託中心發布並於十一月十二日更新的 ScreenConnect 安全公告，以及 Huntress、Sophos 的技術報告，均指向一場仍在調查中的活躍活動。本文僅轉述已核對的官方與一手研究陳述，不把尚未證實的入侵途徑寫成定論。
一、核心事件：夥伴面板遭未授權使用，官方預防性停用第三方擴充功能
官方立場與時間線
據 ConnectWise 信託中心公告，該公司最初於十一月十一日協調世界時二十二時四十五分（香港時間十二日六時四十五分）公布調查與初步防護指引，並於十二日協調世界時二時四十五分（香港時間當日十時四十五分）發布最新更新，狀態仍為「調查進行中」。
公告指出，ConnectWise 正在調查部分夥伴 ScreenConnect 環境遭未授權存取的報告。截至該更新，官方表示未發現 ConnectWise 自身基建被攻陷，亦未發現 ScreenConnect 產品本身存在漏洞。初步評估認為，有關活動可能涉及攻擊者濫用夥伴環境中自行安裝的獨立第三方擴充功能；官方強調此研判仍在核實，初始入侵方法與完整範圍亦尚未確定。
ConnectWise 識別出約四百個夥伴環境，至少安裝了 RMM+ 系列的一款獨立開發第三方擴充功能，並說明「僅有這些擴充功能，並不足以證實該環境已遭入侵」。這些擴充功能提供可執行遠端命令的應用程式介面，存取受夥伴在設定時自行配置的密碼保護。官方列出須預防性停用的名稱為：Labtech Plus、RMM Plus、RMM+、RMM Plus Password Link，以及 RMM+ Password Link。
在 ConnectWise 可代為操作的範圍內，該公司已於上述約四百個已安裝相關擴充功能的環境停用這些元件，並強調此數字是「已安裝擴充功能的環境」，並非已確認失陷的數量。本地部署（on-premises）的夥伴須自行立即停用，官方無法代勞。該公司正聯絡所有 ScreenConnect 夥伴，引導他們閱讀信託中心公告，並要求在另行通知前不要重新啟用或重新安裝上述擴充功能。
ConnectWise 亦表明，一旦發生初始存取之後，該公司無法看見夥伴環境內的後續活動，因此無法獨立判斷受影響夥伴或客戶端發生了什麼；夥伴必須與本身的資安團隊或供應商一併評估。
Huntress 觀測到的規模與手法
Huntress 於十一月十一日的官方報告寫道，當日觀察到有操作者利用多個雲端託管 ScreenConnect 面板的存取權，向成組受管終端推送命令，安裝由攻擊者控制的 ScreenConnect 用戶端，並額外投放名為 SCKit 的工具包。Huntress 指，在其客戶範圍內，至少二百八十八部受管主機、四十八間機構受到影響。
技術細節方面，Huntress 寫明可疑活動約於十一月十一日協調世界時十七時四十七分（香港時間十二日一時四十七分）開始，全部二百八十八部受影響主機在約九十分鐘內出現，其中約三分之一發生在首十分鐘。觀測到的部署路徑，是操作者透過控制台的「執行命令」功能，一次向多部終端發送命令，並以 SYSTEM 權限執行，而不是先依靠工具包自身的蠕蟲擴散。
Huntress 指出，受影響終端所見的遠端監控與管理軟件版本包括當時的較新版本 26.6.6.9747 與 26.7.6.9783。必須分開理解的是：這說明活動發生在已更新的安裝上，並不等於已證實產品存在新漏洞。ConnectWise 截至最新公告仍表示，未發現 ScreenConnect 本身的漏洞。
Sophos X-Ops 亦發表簡報，指正在調查涉及未授權 ScreenConnect 用戶端部署的活躍活動，並觀察到以 curl 從攻擊者基礎設施下載安裝程式、再以靜默方式安裝的行為，與 Huntress、ConnectWise 公布的部分指標相符。
二、技術原理：偽冒用戶端、SCKit 與設計中的會話劫持
已觀測的安裝鏈
據 Huntress，命令會先檢查是否已有 ScreenConnect 用戶端，接著把攻擊者控制的安裝程式下載到系統臨時目錄並靜默安裝，再寫入投放器腳本，向攻擊者基礎設施取得解碼程式，以及按該主機識別碼配對的加密 SCKit 包。
SCKit 是一套由十六個檔案組成的工具包，包含 PowerShell、批次檔與設定資料。套件以加密形式傳送，受感染主機會把 Windows 系統的唯一識別碼放進請求，伺服器則回傳解密所需的金鑰、初始向量與鹽值，腳本再把內容解出到臨時目錄。後續元件會把工具解壓到程式資料目錄下的 RelayTrap 資料夾、為 Microsoft Defender 加入排除項目、安裝第二個由攻擊者控制的 ScreenConnect 用戶端，並以 SYSTEM 權限啟動名為 TrapWatch 的排程工作，在該主機編譯出專屬的 RelayTrap 程式。合法的 ScreenConnect 用戶端隨後被停止並改為手動啟動，攻擊者控制的複本則被放上其位置。
Huntress 評估，RelayTrap 的 C# 原始碼註解與說明風格，顯示其可能由大型語言模型產生；這屬研究人員的研判，並非攻擊者自行確認的事實。
設計中、但尚未在事故中證實成功的橫向擴散
Huntress 重建了工具包預想的第二階段：當技術人員以 ScreenConnect 連上已受感染的終端時，惡意程式會嘗試把投放器傳到技術人員的工作站，竊取瀏覽器中的 ScreenConnect 登入 Cookie（.aspxauth），再重放到面板，列舉該技術人員可觸達的其他工作階段，並試圖經共用工具箱向更多終端廣播裝載。
關鍵限定必須寫清楚：Huntress 表明，上述由受感染終端跳到技術人員工作站、再由工作站擴散到其他終端的路徑，至今尚未在實際事故中觀察到成功案例；控制台接管嘗試在其已檢查的主機紀錄中全部失敗。部分功能是分析裝載後還原出來的能力，不是已在野外全部兌現的攻擊鏈。ConnectWise 原公告亦提到，有報告描述技術人員在互動連線期間工作站可能受影響，但這些描述仍有待驗證。
儘管如此，兩家官方來源都把同一條防護原則寫得很重：不要透過 ScreenConnect 對懷疑失陷的裝置進行互動連線或排查，改用獨立的資安工具或帶外管理通道，以免把風險帶到技術人員工作站及其他可連線的面板。
三、日常應用場景
1. 開發者與技術團隊
若團隊以 ScreenConnect 作遠端除錯或維運，應立即核對上述五款第三方擴充功能是否已停用，並檢查「執行命令」、工具箱與系統管理紀錄是否出現未經授權的批次命令或第二個 ScreenConnect 用戶端。Huntress 建議在清理完成前，不要把已隔離主機過早恢復上線，因觀察到隔離解除後可能很快再感染。
2. 企業與隱私敏感行業
金融、醫療、法律及任何把遠端支援交託予管理服務供應商（MSP）的機構，應向供應商確認其 ScreenConnect 環境的擴充功能狀態、多重要素驗證、工作階段撤銷與日誌留存情況。這類工具一旦被濫用，影響可沿供應鏈同時觸及多家客戶，而不是單一辦公室的單機事件。
3. 一般用戶
一般員工未必直接管理 ScreenConnect 伺服器，但仍應留意非預期的遠端連線、密碼重設或要求安裝遠端工具的訊息，並經可信任渠道向內部資訊部門核實。不要自行開啟來歷不明的遠端支援程式。
4. 香港與亞洲市場視角
香港許多中小企把電腦維修、系統更新與下班後支援外判予本地或區域 MSP，ScreenConnect 一類遠端支援工具在此場景相當常見。企業資訊負責人宜要求供應商書面確認已按 ConnectWise 公告停用指定擴充功能，並說明如何排查偽冒用戶端與異常遠端命令。區域供應鏈若一間 MSP 同時服務多家商戶，單一端點失陷的後果可能被放大。
四、專業評價與潛在考量
優勢
ConnectWise 在事發當日即公布調查、列出須停用的擴充功能名稱，並在可操作範圍內先做預防性停用，其後補充調查指標與夥伴自查清單，讓營運者有具體動作可執行。Huntress 公開了觀測規模、時間窗、工具包結構與妥協指標，並清楚區分「已在事故中見到的行為」與「只在程式碼中還原、尚未觀察到成功擴散的功能」，有助避免把尚未兌現的攻擊鏈寫成既成事實。Sophos 的獨立觀察為部分基礎設施指標提供交叉核對。
需要留意的地方
調查仍在進行，初始入侵途徑未定。約四百個環境是「安裝了相關擴充功能」，不能理解成四百宗已確認入侵。Huntress 的二百八十八部終端、四十八間機構，僅覆蓋其自身客戶視野，實際範圍可能更廣或不同。停用擴充功能與重設密碼，並不能自動清除已經植入的程式、持久化機制或既有存取。九月另有涉及 ScreenConnect 檔案傳輸的舊漏洞修復紀錄，與本次官方「尚未發現產品漏洞」的表述必須分開，避免把兩件事併成同一事件。
結語
這次事件再次說明，遠端支援通道的安全不只取決於產品本身是否有已公開漏洞，也取決於夥伴環境加裝了什麼擴充功能、帳戶如何保護，以及技術人員如何連線至懷疑失陷的裝置。使用 ScreenConnect 的機構與 MSP 應以 ConnectWise 最新公告為準，立即確認指定第三方擴充功能已停用，用獨立工具排查，並在清理完成前避免以該遠端工具直接連上可疑主機。
如需在香港檢視雲端與遠端維運環境的網絡安全防護，可參考 YSK Limited 的雲端遷移與網絡安全服務（https://ysk.hk/services/cloud-security）。
參考來源
- ConnectWise Trust Center 安全公告（十一月十二日協調世界時二時四十五分更新）：https://www.connectwise.com/company/trust/advisories
- Huntress《SCKit Worm Installs Rogue ScreenConnect Clients and Session Cookie Relays Across Hundreds of Endpoints》：https://www.huntress.com/blog/sckit-worm-rogue-screenconnect
- Sophos X-Ops《Malicious ScreenConnect deployments observed》：https://www.sophos.com/en-us/blog/malicious-screenconnect-deployments-observed
- BleepingComputer 報導（發現來源，非一手）：https://www.bleepingcomputer.com/news/security/active-screenconnect-attacks-breach-msps-impact-dozens-of-organizations/