Investigadores de seguridad de Huntress informaron que, el pasado 11 de noviembre, un intruso utilizó el acceso a varios paneles de ScreenConnect alojados en la nube para enviar comandos a grupos de endpoints gestionados.
De este modo, instaló copias del software de gestión remota —controladas por el atacante— en al menos 288 equipos pertenecientes a 48 organizaciones.
De acuerdo con la empresa, aproximadamente un tercio de los equipos fueron afectados en los primeros 10 minutos, y la totalidad de ellos en un plazo de unos 90 minutos.
ConnectWise, desarrolladora de ScreenConnect, comunicó que está investigando informes sobre accesos no autorizados a los entornos de ScreenConnect de algunos de sus socios. Asimismo, ha desactivado cinco extensiones desarrolladas por terceros en cerca de 400 entornos de socios, donde ha tenido capacidad de intervenir.
La compañía afirmó que “no ha encontrado pruebas de una vulneración de la infraestructura de ConnectWise ni de una vulnerabilidad en el propio ScreenConnect”.
En su aviso de seguridad, señaló que “nuestra evaluación inicial sugiere que la actividad podría deberse a que un actor de amenazas ha abusado de extensiones de terceros, instaladas de forma independiente en los entornos de los socios”.
Índice de temas
¿Cómo el abuso de la extensión RMM+ elude el MFA?
Huntress identificó que la actividad estaba vinculada a “RMM+”, una de las extensiones desactivadas, la cual permite que otras herramientas gestionen sesiones de ScreenConnect sin necesidad de que un usuario interactúe a través de la consola.
Según Huntress, esta extensión “elude las cuentas de usuario, los roles y la autenticación multifactor (MFA) de ScreenConnect”, ya que realiza la autenticación mediante una clave de acceso compartida en lugar de utilizar el sistema de autenticación multifactor de la plataforma.
En las versiones 1.0.31 y 1.0.32, explica la empresa, “dicha clave venía configurada por defecto como un valor vacío; esto significaba que el proceso de autenticación no rechazaba la ausencia de valor, permitiendo que un atacante superara la verificación sin necesidad de configurar ninguna clave”.
La mayoría de las instalaciones analizadas parecían legítimas, “añadidas probablemente para algún proyecto y dejadas allí posteriormente”.
Funcionamiento del malware SCKit y antecedentes en ConnectWise
El malware, al que Huntress denomina “SCKit”, instalaba clientes de ScreenConnect maliciosos, detenía el cliente legítimo y colocaba la copia del atacante en su lugar. Para ello, reutilizaba las bibliotecas de código del cliente original, logrando que el equipo “siguiera pareciendo normal”.
El kit también incluía código diseñado para sustraer la “cookie” de sesión de un usuario y reutilizarla en el panel para acceder a los sistemas de otros clientes; no obstante, Huntress señaló que, en todos los registros de los equipos analizados hasta el momento, dichos intentos “han fracasado”.
Este episodio se suma a una actividad similar, de tipo “gusano”, que Huntress comenzó a rastrear en septiembre, momento en el que ConnectWise publicó una actualización de seguridad para corregir una vulnerabilidad en la transferencia de archivos de ScreenConnect (CVE-2026-84869), la cual obtuvo una puntuación de 9.9 sobre 10 en la escala CVSS.
En esta ocasión, ambas empresas señalaron que el punto de entrada fue una extensión de terceros explotada de forma maliciosa, y no la plataforma en sí; no obstante, ninguna de ellas ha atribuido la autoría de la actividad, y ConnectWise indicó que tanto el método de acceso inicial como el alcance total del incidente siguen bajo investigación.
El suceso se produce, además, casi un mes después de que ConnectWise hiciera frente a un ataque a la cadena de suministro que Microsoft atribuyó posteriormente a Storm-0940, un grupo vinculado al Estado chino.
Dicho grupo empleó el marco de trabajo ARTEX AI para automatizar ataques de password spraying (rociado de contraseñas) y aprovechar accesos privilegiados a los entornos de Microsoft 365 de sus clientes.
