ScreenConnect: invasores distribuem clientes falsos e malware SCKit para 288 endpoints gerenciados

O que aconteceu

Em 12 de novembro de 2026, a ConnectWise desativou cinco extensões de terceiros do ScreenConnect em ambientes de parceiros. A medida foi preventiva, após relatos de acesso não autorizado. A ConnectWise afirma que não encontrou nenhuma vulnerabilidade no software ScreenConnect nem comprometimento de sua própria infraestrutura. Sua avaliación inicial é que um agente de ameaças pode estar abusando de extensões independentes de terceiros instaladas em ambientes de parceiros. Como os invasores entraram e o escopo completo ainda estão sendo investigados.

A Huntress também acompanha a atividade, que foi detectada pela primeira vez em 11 de novembro de 2026, por volta das 17:47 UTC. Segundo a Huntress, os invasores usaram o acesso a painéis ScreenConnect hospedados na nuvem para enviar comandos Run. Esses comandos instalaram clientes ScreenConnect falsos em pelo menos 288 endpoints gerenciados em 48 organizações. A Huntress não observou evidências de uma nova vulnerabilidade. Seus dados atuais apontam para credenciais roubadas ou sessões de operadores sequestradas como forma de acesso.

Os clientes falsos entregam o SCKit, um kit de ferramentas maliciosas personalizado. Ele mantém o acesso remoto aberto mesmo sem o painel original. Também adiciona exclusões ao Microsoft Defender, instala um segundo cliente ScreenConnect controlado pelo invasor, cria uma tarefa agendada chamada "TrapWatch" e pode substituir a instalação legítima do ScreenConnect por uma cópia controlada pelo invasor.

A Huntress analisou os payloads e encontrou código destinado a se espalhar. Quando um técnico se conecta a um endpoint infectado, o código roubaria o cookie de sessão .aspxauth da estação de trabalho do técnico. Em seguida, usaria esse cookie em outros painéis e enviaria um payload para todas as sessões alcançáveis por meio da Shared Toolbox. A Huntress afirma que ainda não viu essa propagação ter sucesso. A Sophos relatou separadamente implantações não autorizadas de clientes ScreenConnect que seguem o mesmo padrão.

Quem é afetado

Isso afeta organizações que usam o ConnectWise ScreenConnect para gerenciar endpoints e servidores, principalmente MSPs e provedores de serviços de TI. Os ataques observados até agora usaram painéis ScreenConnect hospedados na nuvem. A ConnectWise identificou cerca de 400 ambientes de parceiros com pelo menos uma dessas extensões instalada:

• Labtech Plus
• RMM Plus
• RMM+
• RMM Plus Password Link
• RMM+ Password Link

Essas extensões fornecem uma API que pode executar comandos remotos. O acesso a ela é protegido por uma frase-senha definida pelo parceiro durante a configuração. A ConnectWise ressalta que ter uma dessas extensões instalada não significa que você está comprometido. Nenhuma vulnerabilidade do ScreenConnect foi identificada, portanto não há patch a instalar. A Huntress observou que os invasores numeram cada MSP comprometido em sequência, e os números que ela viu começam a partir de um ponto intermediário. Outros MSPs podem, portanto, ter sido atingidos antes. Por isso a Huntress recomenda que todos os usuários do ScreenConnect verifiquem seu histórico de Run Command, mesmo que não tenham recebido alertas.

O que fazer agora

1. Se você executa o ScreenConnect on-premises, desative as cinco extensões listadas acima, conforme solicitado pela ConnectWise. Não as reative até que a ConnectWise informe que é seguro.
2. Verifique se seus controles de segurança (EDR, antivírus) estão em execução nas estações de trabalho dos técnicos e nos endpoints gerenciados. Procure exclusões do Microsoft Defender que ninguém da sua equipe adicionou.
3. Preserve os logs de auditoria e de sessão do ScreenConnect e quaisquer outros logs que mostrem atividade suspeita antes de alterar qualquer coisa.
4. Redefina as senhas de todos os operadores do ScreenConnect, encerre as sessões ativas de operadores e garanta que a autenticação multifator esteja ativa em todas as contas. Altere as frases-senha de quaisquer APIs de extensões.
5. Revise contas de administrador e permissões em todos os painéis. Remova contas e direitos que você não consegue explicar.
6. Trate qualquer endpoint com um cliente ScreenConnect falso ou artefatos do SCKit como comprometido. Isole-o e investigue-o. Limpe-o ou reconstrua-o antes de voltar a confiar nele. Verifique também as estações de trabalho dos técnicos que se conectaram a ele.

Como verificar se você foi atingido

• Revise o histórico de Run Command nos seus painéis ScreenConnect em busca de comandos que ninguém da sua equipe executou, especialmente desde 11 de novembro de 2026. Procure também instalações inesperadas de extensões, atividade de Toolbox e itens da Shared Toolbox.
• Procure logins de locais incomuns, falhas repetidas de login, solicitações de MFA inesperadas, novas contas de administrador e alterações de permissões.
• Nos endpoints, procure clientes ScreenConnect que não pertençam à sua própria instância e outros softwares de acesso remoto que você não aprovou. A Sophos associou a atividade aos IDs de instância ScreenConnect d905b2b1b165d0a9, 4b8f4089ddaac6a9 e df1f7ef0cfacd0d8, e aos IDs adicionais 2588ef5c15954b10 e ed630cc2c873b091.
• Procure nos endpoints uma tarefa agendada chamada "TrapWatch" e estes arquivos: sckit-run.bat, sckit-decoder.ps1, TrapWatch.ps1, Panel-Lateral.ps1, Run-Lateral-Full.bat, runnew.cmd, ToolboxRelayUploader.exe e Sqlite3.exe. A Sophos também observou o curl.exe baixando ScreenConnect.ClientSetup.msi para C:\Windows\TEMP\sc.msi, que o msiexec.exe então instalou silenciosamente.
• Procure nos logs de firewall, proxy e DNS os endereços IP 185.99.255[.]28 e 155.94.150[.]39. Procure também estes domínios: ns[.]mo7sen[.]dev (incluindo o caminho /EadF.php?p=4), sc[.]payproofkit[.]com, cdn007-digitaldownloads[.]com, newnewnew[.]gotdns[.]org e Soxnewwork[.]homedns[.]org.
• Fique atento a solicitações de suporte inesperadas, mensagens de redefinição de senha e downloads de software que cheguem por um canal em que você normalmente confia.

Se você encontrar qualquer um desses indicadores, reporte-os à ConnectWise e trate os painéis afetados, as estações de trabalho dos técnicos e os endpoints como comprometidos.

Atualização de 14 de novembro de 2026

Pesquisadores agora têm uma explicação provável para a forma como os atacantes entraram. Segundo a Huntress, a extensão RMM+ ignora as contas de usuário, as funções e o MFA do ScreenConnect. Em vez disso, ela verifica as solicitações com base em uma única chave de acesso compartilhada, armazenada nas configurações da extensão. A BleepingComputer e o The Register relatam que as versões 1.0.31 e 1.0.32 do RMM+ têm uma falha: se nenhuma chave de acesso tiver sido configurada, elas aceitam uma chave em branco. Isso permitiu que os atacantes executassem comandos sem fazer login no ScreenConnect e sem passar pelo MFA. Portanto, redefinir as senhas dos operadores e ativar o MFA não protege uma instância em que o RMM+ ainda está habilitado. Nenhuma versão corrigida da extensão foi anunciada até o momento.

• Certifique-se de que o RMM+ e as extensões relacionadas estejam desabilitados em todas as instâncias, incluindo os servidores locais (on-premises). A ConnectWise não pode desabilitá-los nesses servidores por você.

• Revise o histórico de Run Command em busca de comandos que chegaram pelo RMM+, mesmo que seus logs de login não mostrem logins suspeitos.

• https://www.huntress.com/blog/sckit-worm-rogue-screenconnect

• https://www.bleepingcomputer.com/news/security/new-worm-like-sckit-malware-targets-msps-in-screenconnect-attacks/

• https://www.theregister.com/security/2026/11/12/hackers-exploiting-screenconnect-plugin-flaw-to-spread-malware-across-hundreds-of-pcs/5309361

• https://www.cybersecuritydive.com/news/connectwise-disables-third-party-extensions-cyberattack-ScreenConnect/874490/

Fontes

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2026/11/screenconnect-attacks-target-at-least.html