Phishing instaluje MSP360 RMM, a przez niego ScreenConnect jako drugi kanał dostępu

Od lipca 2026 Microsoft Defender Experts obserwuje kampanie phishingowe, które podsuwają legalny, podpisany cyfrowo instalator MSP360 RMM 2.5.0.67 pod mylącymi nazwami plików. Microsoft nie stwierdził wykorzystania luki w samym ScreenConnect: napastnicy używają prawdziwego oprogramowania do zdalnej administracji. Przynętami są zaproszenia na spotkania, pliki udające dokumenty PDF i komunikaty o aktualizacji oprogramowania. Po zgodzie w oknie UAC instalator zakłada usługi MSP360, a agent przez PowerShell pobiera i po cichu instaluje ConnectWise ScreenConnect jako drugi kanał dostępu. Dalej napastnicy zbierają informacje i przejmują dane logowania.

Kogo dotyczy

Według Microsoftu celem są organizacje z wielu branż. Zagrożone są komputery, na których użytkownik uruchomi podsunięty plik i zatwierdzi podniesienie uprawnień.

Co zrobić

Microsoft publikuje zapytania do wyszukiwania śladów i zalecenia, które pomagają wykryć i ograniczyć użycie niezatwierdzonych narzędzi RMM. Microsoft Defender for Endpoint wykrywa podejrzaną i nietypową aktywność zdalnego zarządzania.