Por Canuto  

Una extensión de terceros para ScreenConnect habría permitido ejecutar comandos con una clave de acceso en blanco. La campaña alcanzó al menos 288 equipos y ConnectWise identificó cerca de 400 entornos con extensiones de la familia RMM+, aunque la presencia de una extensión no significa que todos hayan sido comprometidos.
***

  • Huntress identificó ataques contra 288 equipos de 48 organizaciones en un periodo de 90 minutos; cerca de un tercio sufrió la intrusión durante los primeros diez minutos.
  • Según Huntress, las versiones 1.0.31 y 1.0.32 de RMM+ tenían una falla que podía aceptar una clave en blanco en ciertas instalaciones. La ruta de comandos podría haber permitido actuar sin pasar por la consola habitual y sus controles MFA.
  • ConnectWise desactivó cinco extensiones relacionadas y advirtió que retirar un plugin y restablecer credenciales no necesariamente elimina malware ni mecanismos de persistencia.

Una falla en RMM+ habría facilitado ataques contra cientos de equipos con ScreenConnect

Una campaña rápida contra proveedores de TI

Una campaña de intrusiones aprovechó una extensión de terceros vinculada a ScreenConnect para instalar malware en al menos 288 equipos de 48 organizaciones, según la investigación de Huntress. Los ataques se concentraron en proveedores de servicios gestionados, conocidos como MSP, que administran sistemas y ofrecen soporte informático a otras empresas; la velocidad de la operación elevó el riesgo de que un proveedor afectado conectara a sus propios técnicos y clientes con los equipos comprometidos.

Huntress detectó la actividad alrededor de las 17:47 UTC del 11 de noviembre de 2026 y describió una secuencia que alcanzó los 288 endpoints en apenas 90 minutos. Cerca de un tercio de esos equipos habría sido atacado durante los primeros diez minutos, mientras que las cifras de víctimas parecían avanzar de manera secuencial, un indicio que llevó a los investigadores a sospechar que pudo haber organizaciones afectadas antes de que comenzara su seguimiento.

Los atacantes usaron la función de comandos remotos de ScreenConnect para instalar clientes fraudulentos en máquinas administradas por varios proveedores de servicios de TI. La campaña desplegó un conjunto de 16 archivos denominado SCKit, que instala un cliente ScreenConnect separado para conservar el acceso remoto incluso si se cierra la conexión legítima que el equipo utilizaba para recibir soporte.

Los investigadores también observaron que el kit incluye código diseñado para propagarse hacia los técnicos que investiguen los incidentes y, potencialmente, a otros clientes bajo su control. Esa capacidad representa un riesgo de expansión entre organizaciones conectadas por un mismo proveedor, aunque Huntress indicó que no había observado que ese mecanismo funcionara en los registros revisados.

La posible falla en la extensión

La investigación vinculó la actividad con una posible debilidad de autenticación en RMM+, una extensión de terceros que permite a otras herramientas de gestión emitir comandos mediante ScreenConnect sin que el técnico tenga que operar desde la consola. Según Huntress, las versiones 1.0.31 y 1.0.32 contenían una falla que podía aceptar una clave de acceso en blanco si el administrador nunca había configurado esa clave.

El punto crítico es que RMM+ funciona de forma independiente de las cuentas de usuario convencionales y de los controles de autenticación de ScreenConnect. Por ello, un atacante que lograra usar esa ruta podría ejecutar comandos sin pasar por la autenticación multifactor, o MFA, de la consola habitual. La información disponible apunta a esa posibilidad, pero no permite presentar el bypass de MFA como un resultado confirmado en todos los entornos afectados.

Huntress dijo que esta hipótesis coincide con señales encontradas durante los ataques: comandos llegaron a máquinas de varias instalaciones de ScreenConnect sin que apareciera actividad de inicio de sesión correspondiente. La firma también confirmó que los incidentes afectaron a las versiones 26.6.6.9747 y 26.7.6.9783 del producto, de modo que utilizar versiones recientes no bastaba, por sí solo, para descartar el riesgo descrito.

ConnectWise reconoció que extensiones de terceros podrían haber estado implicadas, pero no confirmó cómo consiguieron acceso inicialmente los atacantes. En su aviso de seguridad, la compañía dijo que investigaba accesos no autorizados a determinados entornos de socios y afirmó que, hasta ese momento, no había encontrado pruebas de una intrusión en su infraestructura.

Respuesta, alcance y riesgos de recuperación

ConnectWise identificó cerca de 400 entornos de socios que contenían al menos una extensión de terceros de la familia RMM+ y desactivó cinco plugins cuando pudo hacerlo de forma remota, entre ellos RMM+, RMM Plus y Labtech Plus. La empresa aclaró que esos entornos se contabilizaron porque tenían instaladas las extensiones, no porque todos estuvieran necesariamente comprometidos; también pidió a los clientes con servidores propios de ScreenConnect que desactivaran los plugins afectados.

La posible propagación hacia los equipos de los técnicos vuelve especialmente delicada la respuesta a un incidente. SCKit intentaría transferir malware a la estación de trabajo de quien se conecte desde ScreenConnect a un equipo infectado, robar cookies de autenticación y utilizar el acceso obtenido para alcanzar otras máquinas, lo que abriría una ruta desde un cliente comprometido hacia otros administrados por el mismo proveedor.

Sin embargo, los investigadores no confirmaron que esa parte del ataque hubiera tenido éxito: según Huntress, los intentos de tomar el control de la consola fallaron en cada registro de host recuperado que había revisado hasta entonces. La distinción importa porque el kit contiene esa capacidad, pero la evidencia comunicada no demuestra que los atacantes lograran usarla para saltar entre clientes.

Huntress y ConnectWise aconsejaron no investigar equipos sospechosos conectándose a ellos mediante ScreenConnect, ya que esa acción podría exponer la computadora del técnico. Recomendaron recurrir a otras herramientas de seguridad, buscar clientes ScreenConnect fraudulentos, revisar los comandos ejecutados y eliminar el malware antes de devolver los equipos a la red.

La limpieza incompleta puede prolongar el problema incluso después de aislar una máquina: Huntress advirtió que algunos equipos se reinfectaban pocos minutos después de salir del aislamiento porque el malware no se había eliminado correctamente. ConnectWise también alertó que desactivar extensiones y restablecer credenciales, por sí solos, quizá no retiren el software no autorizado, la persistencia ni el acceso ya establecido; en otras palabras, cerrar la vía de entrada no garantiza que el intruso haya salido.

ConnectWise sostuvo que su investigación no había encontrado evidencia de un compromiso de su infraestructura. Mientras se aclara el origen del acceso, los administradores deben considerar por separado la presencia de una extensión vulnerable y la evidencia concreta de intrusión, además de comprobar que los endpoints no conservan mecanismos de acceso instalados por los atacantes.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados