A ConnectWise investiga uma campanha ativa de malware que tem como alvo provedores de serviços gerenciados e usa ambientes comprometidos do ScreenConnect para instalar clientes de acesso remoto não autorizados nos dispositivos de clientes.
A campanha foi identificada na quarta-feira pela empresa de cibersegurança Huntress. A companhia afirma ter encontrado seis provedores comprometidos e 286 endpoints afetados em 47 organizações. O número de vítimas continua aumentando.
“Nosso centro de operações de segurança está acompanhando uma campanha ativa que começou hoje, por volta das 17h47 UTC, e tem como alvo instâncias do ScreenConnect hospedadas na nuvem”, publicou a Huntress no Reddit.
“Estamos acompanhando seis provedores comprometidos e mais de 286 endpoints, e esses números continuam subindo. A ConnectWise está envolvida e trabalhando conosco no caso.”
O ScreenConnect é uma plataforma de acesso remoto e suporte usada por provedores de serviços gerenciados e equipes de TI para administrar dispositivos de clientes e solucionar problemas à distância.
Segundo a Huntress, os invasores usam o recurso Run Command do ScreenConnect para instalar clientes do programa nos endpoints gerenciados. Com isso, obtêm acesso remoto fora do ambiente legítimo do ScreenConnect usado pelo provedor.
Os pesquisadores também alertaram para uma técnica potencialmente mais perigosa, na qual os invasores podem comprometer a estação de trabalho de um técnico do provedor quando ele inicia uma sessão do ScreenConnect com um dispositivo de cliente infectado.
Ainda não está claro como funciona essa técnica de reverse pivot, inclusive se ela explora uma vulnerabilidade de software ou abusa de recursos legítimos do ScreenConnect.
A ConnectWise confirmou que investiga os ataques e recomendou que seus parceiros evitem sessões remotas interativas com dispositivos possivelmente comprometidos.
“Estamos cientes de relatos de atividade maliciosa que afeta um número limitado de parceiros do ScreenConnect e estamos investigando o caso”, informou a ConnectWise.
“Como precaução, os parceiros devem evitar abrir sessões interativas do ScreenConnect com dispositivos suspeitos de comprometimento e usar outras ferramentas de segurança na investigação. Também devem revisar a atividade das contas, encerrar sessões ativas, redefinir credenciais em um dispositivo confiável e verificar a autenticação multifator.”
A empresa afirmou que divulgará mais informações e orientações pelo ConnectWise Trust Center.
A Huntress ainda não identificou como os invasores estão obtendo acesso aos ambientes dos provedores afetados. Segundo a empresa, os dados de telemetria disponíveis apontam para credenciais comprometidas e sessões de suporte dos provedores sequestradas.
A Huntress também alertou que os identificadores sequenciais usados pelos invasores sugerem que outros provedores podem ter sido comprometidos anteriormente.
“Etiquetas sequenciais atribuídas pelos invasores indicam que outros provedores podem ter sido comprometidos antes. Por isso, usuários do ScreenConnect devem verificar o histórico do recurso Run Command, mesmo que não tenham recebido alertas”, afirmou a Huntress, segundo o BleepingComputer.
A empresa também divulgou indicadores de comprometimento (IOCs) para ajudar organizações a identificar atividades maliciosas, incluindo IDs de clientes não autorizados do ScreenConnect e a infraestrutura usada pelos invasores.
Os indicadores incluem:
- Retransmissor dos invasores: 185.99.255[.]28 (nome do host: screen)
- Domínios C2: newnewnew.gotdns[.]org, soxnewwork.homedns[.]org
- Possível C2 adicional: cdn007-digitaldownloads[.]com
- C2 secundário: sc.payproofkit[.]com (155.94.150[.]39, nome do host: WIN-FB5CKHMU4E1)
- Componente de preparação: hxxps://ns.mo7sen[.]dev/EadF.php?p=4
- IDs de clientes não autorizados do ScreenConnect: 2588ef5c15954b10, ed630cc2c873b091
- Padrão do instalador: /Bin/ScreenConnect.ClientSetup.msi?...&c=Exploited<N>
- Nome usado pelo invasor: Addmin
- Arquivos: Panel-Lateral.ps1, runnew.cmd, ToolboxRelayUploader.exe, Run-Lateral-Full.bat
Os pesquisadores recomendam que os provedores verifiquem seus ambientes em busca de sinais de comprometimento e não iniciem sessões interativas do ScreenConnect com endpoints possivelmente infectados.
O BleepingComputer informou que encaminhou outras perguntas à Huntress e atualizará a reportagem caso receba uma resposta.
O BleepingComputer identificou um script malicioso em lote anterior que faz referência a um dos IDs de clientes não autorizados do ScreenConnect divulgados pela Huntress. Isso sugere que o identificador foi usado em atividades maliciosas meses antes da divulgação dos ataques atuais.
O arquivo, chamado SSA-2026-STATEMENT-15518787.bat [VirusTotal], parece se passar por um extrato da Social Security Administration dos Estados Unidos. Ele foi enviado pela primeira vez ao VirusTotal em 25 de julho de 2026.
O arquivo tenta adicionar exclusões ao Microsoft Defender e manter a persistência no sistema por meio da pasta Inicializar do Windows e da chave Run do Registro.
Em seguida, ele acessa amexsafekeyupdate.com para obter comandos de instalação de dois instaladores diferentes.
A atividade do arquivo na sandbox do VirusTotal inclui o download de instaladores MSI do ScreenConnect dos domínios cdn007-digitaldownloads[.]com e cyberrexdesign.screenconnect[.]com. A Huntress aponta digitaldownloads[.]com como um possível IOC.
Após iniciar o segundo instalador, o script usa o PowerShell para procurar ed630cc2c873b091, um dos IDs de clientes não autorizados do ScreenConnect identificados pela Huntress, entre os processos em execução e os serviços do Windows.
Se encontra o identificador, o script considera a instalação bem-sucedida e envia uma notificação aos invasores pelo Telegram.
O script anterior também parece ter sido criado para uma campanha de distribuição diferente. O nome do arquivo, que faz referência à Previdência Social, sugere que ele pode ter sido usado em ataques de phishing.
Ainda não se sabe se a atividade de julho e os ataques atuais contra provedores fazem parte da mesma campanha.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...