Ataque tipo verme no ScreenConnect instala clientes maliciosos em 288 endpoints de 48 organizações

Uma campanha de intrusão em ritmo acelerado está transformando ferramentas de suporte remoto em plataforma de ataque. Pesquisadores da Huntress acompanham invasores que abusaram do acesso a painéis ScreenConnect hospedados na nuvem para disparar comandos Run e instalar clientes ScreenConnect maliciosos em pelo menos 288 endpoints gerenciados, distribuídos por 48 organizações, com atividade detectada em 11 de novembro de 2026.

A cadeia é agressiva por construção. Endpoints infectados propagam o payload de volta para qualquer técnico que se conecte a eles, permitindo que o malware colete sessões de navegador salvas e tokens de autenticação e se espalhe para todos os outros painéis que esse técnico alcança. Os clientes maliciosos instalam o SCKit, um kit próprio que mantém acesso remoto persistente e cria uma armadilha para cookies de sessão, além de adicionar exclusões no Defender, registrar uma tarefa agendada chamada TrapWatch e substituir a instalação legítima do ScreenConnect por uma cópia controlada pelo atacante.

A ConnectWise afirma não ter encontrado evidências de falha no próprio software ou na infraestrutura, apontando o abuso de cinco extensões de terceiros, agora desativadas por precaução em cerca de 400 ambientes de parceiros. A lição é direta: ferramentas de acesso remoto viraram alvo prioritário, e cada estação de trabalho de técnico é uma ponte em potencial para a próxima vítima. Reforce os painéis, remova extensões sem uso e audite cada sessão antes que o verme encontre o próximo salto.