Marokkos nationale Cybersicherheitsbehörde DGSSI hat eine kritische Sicherheitswarnung wegen einer internationalen Angriffskampagne gegen IT-Dienstleister herausgegeben. Die Warnung wurde am Donnerstag, dem 12. November 2026, veröffentlicht. Angreifer verschafften sich Zugang zu den Verwaltungssystemen von mindestens sechs IT-Dienstleistern und führten innerhalb von nur 90 Minuten schädliche Befehle auf mindestens 288 Computern in 48 Organisationen aus. Die Angriffe betreffen eine Software zur Fernwartung von Computersystemen, die Unternehmen und IT-Dienstleister weltweit einsetzen.
Die Generaldirektion für die Sicherheit der Informationssysteme (DGSSI), die der marokkanischen Nationalen Verteidigungsverwaltung untersteht, stuft sowohl das Risiko als auch die möglichen Auswirkungen der Angriffskampagne als „kritisch“ ein. Die Warnung mit der Referenznummer 71001211/26 richtet sich insbesondere an Organisationen, die die Fernwartungssoftware ConnectWise ScreenConnect nutzen.
Die bislang dokumentierten Angriffe betreffen internationale IT-Infrastrukturen. Welche Länder und Unternehmen zu den Opfern gehören, wird in der Sicherheitsmeldung nicht aufgeschlüsselt. Eine unmittelbare Betroffenheit marokkanischer Organisationen ist damit nicht bestätigt.
Hacker nutzen Zugänge von IT-Dienstleistern für weitere Angriffe
Die Angreifer konzentrieren sich auf sogenannte Managed Service Provider (MSP). Dabei handelt es sich um spezialisierte Unternehmen, die im Auftrag ihrer Kunden Computersysteme, Netzwerke und IT-Infrastrukturen betreuen.
Solche Dienstleister verfügen häufig über weitreichende Zugriffsrechte auf die technischen Systeme mehrerer Unternehmen. Gelingt es Cyberkriminellen, die Verwaltungskonsole eines Dienstleisters zu übernehmen, können sie dessen bestehende Zugriffsrechte missbrauchen, um zahlreiche Kundensysteme gleichzeitig anzugreifen.
Genau dieses Vorgehen wurde bei der aktuellen Angriffskampagne beobachtet. Die Täter nutzten die reguläre Funktion „Run Command“ von ScreenConnect, mit der Administratoren Befehle auf entfernten Computern ausführen können.
Über diese Funktion installierten sie zusätzliche Fernzugriffssoftware und ein Schadprogramm namens SCKit. Damit konnten sie dauerhafte Zugänge zu kompromittierten Geräten einrichten und die Kontrolle über die Systeme auch unabhängig von der ursprünglich übernommenen Verwaltungskonsole aufrechterhalten.
Das amerikanische Cybersicherheitsunternehmen Huntress registrierte die verdächtigen Aktivitäten am 11. November gegen 17.47 Uhr Weltzeit. Innerhalb von 90 Minuten wurden mindestens 288 Computer aus 48 Kundenorganisationen erreicht. Rund ein Drittel der betroffenen Systeme wurde bereits während der ersten zehn Minuten angegriffen.
Schadsoftware kann Sicherheitsmaßnahmen ausschalten
Die Angriffssoftware SCKit ist darauf ausgelegt, bestehende Schutzmechanismen auf den infizierten Computern zu umgehen und weitere Zugänge innerhalb der betroffenen Netzwerke zu erschließen.
Nach Erkenntnissen der DGSSI und der Sicherheitsforscher kann die Software zusätzliche Fernwartungsprogramme installieren, Ausnahmen in Microsoft Defender einrichten und über die Windows-Funktion AppLocker bestimmte Sicherheitswerkzeuge blockieren. Ein automatisch ausgeführter Prozess namens „TrapWatch“ soll dafür sorgen, dass der unbefugte Fernzugriff erhalten bleibt.
Eine weitere Funktion zielt auf die Zugangsdaten von IT-Administratoren. SCKit versucht, bestehende Anmeldungssitzungen und digitale Authentifizierungsnachweise zu stehlen, um damit Zugang zu weiteren ScreenConnect-Verwaltungssystemen zu erhalten.
Die Sicherheitsforscher von Huntress unterscheiden allerdings zwischen tatsächlich beobachteten Angriffen und zusätzlichen Fähigkeiten, die bei der Untersuchung des Schadcodes entdeckt wurden. Eine erfolgreiche automatische Weiterverbreitung von einem infizierten Computer auf den Arbeitsplatz eines IT-Technikers oder auf weitere Verwaltungskonsolen wurde bislang nicht nachgewiesen.
ConnectWise deaktiviert Erweiterungen in rund 400 IT-Umgebungen
Der Softwareanbieter ConnectWise hat bereits Sicherheitsmaßnahmen eingeleitet. Das Unternehmen identifizierte rund 400 Kunden- beziehungsweise Partnerumgebungen, in denen bestimmte Erweiterungen der Fernwartungssoftware installiert waren. Diese wurden vorsorglich deaktiviert, soweit ConnectWise selbst darauf zugreifen konnte.
Betroffen sind fünf Erweiterungen aus der Produktfamilie RMM+: Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link und RMM+ Password Link.
Im Mittelpunkt der Untersuchungen steht eine Schwachstelle in den RMM+-Versionen 1.0.31 und 1.0.32. Wenn Administratoren keinen eigenen Zugangsschlüssel festgelegt hatten, konnte die Erweiterung unter bestimmten Umständen auch einen leeren Schlüssel akzeptieren. Angreifer könnten dadurch Befehle ausführen, ohne die regulären Zugangskontrollen von ScreenConnect zu durchlaufen.
ConnectWise erklärte am 12. November, bisher keine Hinweise auf einen Einbruch in die eigene Infrastruktur gefunden zu haben. Auch eine neue Sicherheitslücke im Kernprogramm ScreenConnect sei bislang nicht festgestellt worden.
Der ursprüngliche Zugangsweg der Angreifer und das vollständige Ausmaß des Vorfalls werden weiterhin untersucht. Die Installation einer der betroffenen Erweiterungen allein bedeutet nach Angaben des Unternehmens nicht, dass ein System tatsächlich kompromittiert wurde.
Marokkanische Behörde verlangt sofortige Sicherheitsmaßnahmen
Angesichts der Bedrohung fordert die DGSSI betroffene Organisationen und ihre IT-Dienstleister auf, die gefährdeten Erweiterungen unverzüglich zu deaktivieren. Das gilt ausdrücklich auch für Unternehmen, die ScreenConnect auf eigenen Servern betreiben.
Die Behörde empfiehlt außerdem, bestehende Administratoranmeldungen zu beenden, Passwörter zu ändern und digitale Zugangsschlüssel sowie aktive Sitzungen zu widerrufen. Besonders sensible Funktionen zur Ausführung von Fernbefehlen sollen nur noch einem begrenzten Kreis von Administratoren zur Verfügung stehen.
IT-Verantwortliche werden aufgefordert, ungewöhnliche Anmeldungen, neu angelegte Administratorkonten und verdächtige Befehlsausführungen zu überprüfen. Bereits kompromittierte Computer sollen nicht mehr über ScreenConnect ferngewartet werden, da dadurch weitere Systeme gefährdet werden könnten.
Die DGSSI warnt ausdrücklich davor, sich allein auf Softwareaktualisierungen zu verlassen. Selbst wenn die ursprüngliche Sicherheitslücke geschlossen ist, könnten bereits installierte Schadprogramme oder zusätzliche Fernzugänge bestehen bleiben.
Für lokal betriebene ScreenConnect-Installationen verweist die Behörde zusätzlich auf Sicherheitsupdates zu den Schwachstellen CVE-2026-3564 und CVE-2026-84869.
Cyberwarnung steht im Zusammenhang mit Marokkos Sicherheitsstrategie 2030
Marokko verfolgt seit mehreren Jahren den Ausbau seiner nationalen Cybersicherheitsarchitektur. Im Juli 2024 veröffentlichte das Land seine nationale Cybersicherheitsstrategie mit einem Planungshorizont bis 2030.
Die Strategie sieht vor, staatliche Einrichtungen, Unternehmen und kritische Infrastrukturen besser gegen Cyberangriffe abzusichern. Ein Schwerpunkt liegt auf der Erkennung und Abwehr von Bedrohungen sowie der Zusammenarbeit zwischen Behörden und privaten IT-Dienstleistern.
Marokkos DGSSI übernimmt dabei die Rolle der zentralen nationalen Cybersicherheitsbehörde. Zu ihren Aufgaben gehören die Koordinierung staatlicher Sicherheitsmaßnahmen, die Überwachung von Cyberbedrohungen und die Zusammenarbeit mit Betreibern besonders wichtiger Informationssysteme.
Über das nationale Zentrum maCERT koordiniert die Behörde die Überwachung, Erkennung und Reaktion auf IT-Sicherheitsvorfälle.
Die Strategie 2030 sieht außerdem den Ausbau branchenspezifischer Reaktionszentren, regelmäßige Sicherheitsprüfungen kritischer Infrastrukturen und die engere Zusammenarbeit mit internationalen Cybersicherheitsbehörden vor.
Ein eigener Schwerpunkt betrifft die Sicherheit von Telekommunikationsunternehmen, Cloud-Anbietern und anderen digitalen Dienstleistern. Marokko will deren Widerstandsfähigkeit erhöhen, weil Störungen ihrer Systeme gleichzeitig zahlreiche Unternehmen und öffentliche Einrichtungen beeinträchtigen können.
Auch die internationale Zusammenarbeit gehört zu den vier strategischen Säulen. Geplant sind insbesondere ein intensiverer Austausch von Informationen über Cyberbedrohungen, gemeinsame Sicherheitsmaßnahmen und der Ausbau bilateraler Partnerschaften mit ausländischen Behörden und Computer-Notfallteams.
