Falha em extensão do ScreenConnect permitiu instalar SCKit em 288 endpoints
Campo de chave de acesso em branco em add‑on de terceiros deixou atacantes executar comandos de gestão que alcançaram dezenas de clientes.
A empresa de segurança Huntress identificou uma campanha na quarta‑feira, 11 de novembro, em que invasores usaram painéis ScreenConnect hospedados na nuvem para enviar tarefas Run Command que instalaram clientes ScreenConnect maliciosos em pelo menos 288 endpoints de 48 organizações em cerca de 90 minutos.
O kit implantado, chamado SCKit, instala backdoors persistentes e inclui um componente denominado RelayTrap, que foi projetado para roubar cookies de sessão .ASPXAUTH e tentar reproduzi‑los em painéis de técnicos para se propagar lateralmente.
Pesquisadores afirmam que o mecanismo de proliferação em forma de worm foi reconstruído a partir do código, mas não foi observado com sucesso saltando para estações de trabalho de técnicos nos logs recuperados nem contornando correções vigentes.
A Huntress rastreou o provável acesso inicial até a extensão da família RMM+, em que as versões 1.0.31 e 1.0.32 aceitaram uma chave de acesso em branco. A ConnectWise desativou cinco extensões de terceiros em cerca de 400 ambientes de parceiros e disse não ter encontrado evidência de comprometimento de sua infraestrutura central.
Fornecedores e pesquisadores publicaram indicadores de compromisso (IoCs) e medidas práticas para defensores: desativar as extensões implicadas; revisar históricos de Run Command e Toolbox; realizar triagem fora da banda; remover clientes e tarefas agendadas maliciosas; e rotacionar credenciais e sessões ativas.