ScreenConnect: atacantes despliegan clientes no autorizados y malware SCKit en 288 endpoints gestionados

Qué ocurrió

El 12 de noviembre de 2026, ConnectWise deshabilitó cinco extensiones de terceros de ScreenConnect en entornos de socios. Lo hizo como medida preventiva tras recibir informes de accesos no autorizados. ConnectWise afirma que no ha encontrado ninguna vulnerabilidad en el software ScreenConnect ni ningún compromiso de su propia infraestructura. Su primera evaluación indica que un actor de amenazas podría estar abusando de extensiones independientes de terceros instaladas en entornos de socios. Todavía se investiga cómo lograron entrar los atacantes y el alcance total del incidente.

Huntress también está siguiendo esta actividad, que detectó por primera vez el 11 de noviembre de 2026, alrededor de las 17:47 UTC. Según Huntress, los atacantes usaron el acceso a paneles de ScreenConnect alojados en la nube para enviar comandos Run. Estos comandos instalaron clientes ScreenConnect no autorizados en al menos 288 endpoints gestionados de 48 organizaciones. Huntress no ha visto evidencia de una nueva vulnerabilidad. Sus datos actuales apuntan a credenciales robadas o sesiones de operador secuestradas como vía de entrada.

Los clientes no autorizados despliegan SCKit, un conjunto de herramientas maliciosas a medida. Mantiene el acceso remoto abierto incluso sin el panel original. También añade exclusiones en Microsoft Defender, instala un segundo cliente ScreenConnect controlado por los atacantes, crea una tarea programada llamada "TrapWatch" y puede reemplazar la instalación legítima de ScreenConnect por una copia controlada por los atacantes.

Huntress analizó las cargas útiles y encontró código diseñado para propagarse. Cuando un técnico se conecta a un endpoint infectado, el código robaría la cookie de sesión .aspxauth de la estación de trabajo del técnico. Después usaría esa cookie en otros paneles y enviaría una carga útil a cada sesión alcanzable mediante la Shared Toolbox. Huntress afirma que todavía no ha visto que esta propagación tenga éxito. Sophos informó por separado de despliegues no autorizados de clientes ScreenConnect que siguen el mismo patrón.

Quién está afectado

Esto afecta a organizaciones que usan ConnectWise ScreenConnect para gestionar endpoints y servidores, principalmente MSP y proveedores de servicios de TI. Los ataques observados hasta ahora usaron paneles de ScreenConnect alojados en la nube. ConnectWise ha encontrado unos 400 entornos de socios con al menos una de estas extensiones instalada:

• Labtech Plus
• RMM Plus
• RMM+
• RMM Plus Password Link
• RMM+ Password Link

Estas extensiones proporcionan una API que puede ejecutar comandos remotos. El acceso a ella está protegido por una frase de contraseña que el socio define durante la configuración. ConnectWise subraya que tener instalada una de estas extensiones no significa que esté comprometido. No se ha identificado ninguna vulnerabilidad en ScreenConnect, por lo que no hay parche que instalar. Huntress señaló que los atacantes numeran en secuencia a cada MSP comprometido, y los números que ha visto empiezan a partir de un punto intermedio. Otros MSP podrían haber sido atacados antes. Por ello, Huntress recomienda a todos los usuarios de ScreenConnect revisar su historial de Run Command, incluso si no han recibido alertas.

Qué hacer ahora

1. Si ejecuta ScreenConnect en local, deshabilite las cinco extensiones indicadas anteriormente, tal como pide ConnectWise. No las vuelva a activar hasta que ConnectWise confirme que es seguro.
2. Compruebe que sus controles de seguridad (EDR, antivirus) están funcionando en las estaciones de trabajo de los técnicos y en los endpoints gestionados. Busque exclusiones de Microsoft Defender que ningún miembro de su equipo haya añadido.
3. Conserve los registros de auditoría y de sesiones de ScreenConnect, así como cualquier otro registro que muestre actividad sospechosa, antes de modificar nada.
4. Restablezca las contraseñas de todos los operadores de ScreenConnect, cierre las sesiones de operador activas y asegúrese de que la autenticación multifactor esté activada en todas las cuentas. Cambie las frases de contraseña de las API de cualquier extensión.
5. Revise las cuentas de administrador y los permisos en cada panel. Elimine las cuentas y derechos que no pueda justificar.
6. Considere comprometido cualquier endpoint con un cliente ScreenConnect no autorizado o artefactos de SCKit. Aíslelo e investíguelo. Límpielo o reconstrúyalo antes de volver a confiar en él. Revise también las estaciones de trabajo de los técnicos que se conectaron a él.

Cómo comprobar si fue afectado

• Revise el historial de Run Command en sus paneles de ScreenConnect en busca de comandos que nadie de su equipo ejecutó, especialmente desde el 11 de noviembre de 2026. Busque también instalaciones de extensiones inesperadas, actividad de Toolbox y elementos de Shared Toolbox.
• Busque inicios de sesión desde ubicaciones inusuales, intentos fallidos repetidos, solicitudes de MFA inesperadas, nuevas cuentas de administrador y cambios de permisos.
• En los endpoints, busque clientes ScreenConnect que no pertenezcan a su propia instancia y otro software de acceso remoto que no haya aprobado. Sophos vinculó la actividad con los ID de instancia de ScreenConnect d905b2b1b165d0a9, 4b8f4089ddaac6a9 y df1f7ef0cfacd0d8, y con los ID de instancia adicionales 2588ef5c15954b10 y ed630cc2c873b091.
• Busque en los endpoints una tarea programada llamada "TrapWatch" y estos archivos: sckit-run.bat, sckit-decoder.ps1, TrapWatch.ps1, Panel-Lateral.ps1, Run-Lateral-Full.bat, runnew.cmd, ToolboxRelayUploader.exe y Sqlite3.exe. Sophos también observó que curl.exe descargó ScreenConnect.ClientSetup.msi en C:\Windows\TEMP\sc.msi, que después msiexec.exe instaló de forma silenciosa.
• Busque en los registros de cortafuegos, proxy y DNS las direcciones IP 185.99.255[.]28 y 155.94.150[.]39. Busque también estos dominios: ns[.]mo7sen[.]dev (incluida la ruta /EadF.php?p=4), sc[.]payproofkit[.]com, cdn007-digitaldownloads[.]com, newnewnew[.]gotdns[.]org y Soxnewwork[.]homedns[.]org.
• Esté atento a solicitudes de soporte inesperadas, mensajes de restablecimiento de contraseña y descargas de software que lleguen por un canal en el que normalmente confía.

Si encuentra alguno de estos indicadores, notifíquelo a ConnectWise y considere comprometidos los paneles afectados, las estaciones de trabajo de los técnicos y los endpoints.

Actualización del 14 de noviembre de 2026

Los investigadores tienen ahora una explicación probable de cómo entraron los atacantes. Según Huntress, la extensión RMM+ omite las cuentas de usuario, los roles y la MFA de ScreenConnect. En su lugar, comprueba las solicitudes frente a una única clave de acceso compartida almacenada en la configuración de la extensión. BleepingComputer y The Register informan de que las versiones 1.0.31 y 1.0.32 de RMM+ tienen un fallo: si no se ha configurado ninguna clave de acceso, aceptan una vacía. Esto permitió a los atacantes ejecutar comandos sin iniciar sesión en ScreenConnect y sin superar la MFA. Por tanto, restablecer las contraseñas de los operadores y activar la MFA no protege una instancia en la que RMM+ siga habilitado. Todavía no se ha anunciado ninguna versión corregida de la extensión.

• Asegúrese de que RMM+ y las extensiones relacionadas estén deshabilitadas en todas las instancias, incluidos los servidores locales. ConnectWise no puede deshabilitarlas por usted en esos servidores.

• Revise el historial de Run Command en busca de comandos que hayan llegado a través de RMM+, incluso si sus registros de inicio de sesión no muestran accesos sospechosos.

• https://www.huntress.com/blog/sckit-worm-rogue-screenconnect

• https://www.bleepingcomputer.com/news/security/new-worm-like-sckit-malware-targets-msps-in-screenconnect-attacks/

• https://www.theregister.com/security/2026/11/12/hackers-exploiting-screenconnect-plugin-flaw-to-spread-malware-across-hundreds-of-pcs/5309361

• https://www.cybersecuritydive.com/news/connectwise-disables-third-party-extensions-cyberattack-ScreenConnect/874490/

Fuentes

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2026/11/screenconnect-attacks-target-at-least.html