Malware SCKit en ScreenConnect: 288 equipos en 90 minutos

Malware SCKit llegó por ScreenConnect a 288 equipos de 48 organizaciones en 90 minutos, y un tercio de esas máquinas cayó en los primeros 10. Huntress, la firma de seguridad que vigila a buena parte de esas empresas, vio la actividad el 11 de noviembre a las 17:47 UTC: alguien usó varios paneles de ScreenConnect en la nube para enviar comandos en grupo e instalar un cliente de acceso remoto bajo su control, junto a SCKit, un paquete de 16 archivos para quedarse y moverse.

ScreenConnect es la plataforma de soporte remoto de ConnectWise. La usan los proveedores de servicios gestionados, las empresas que administran las computadoras de decenas de clientes desde una sola consola. Esa posición explica el daño en cadena: quien entra al panel no entra a una oficina, entra a todas las oficinas que ese técnico atiende, con comandos ejecutados como SYSTEM, el nivel más alto en Windows.

Una clave en blanco dejó la puerta abierta

Huntress ligó el acceso inicial a RMM+, una extensión de terceros que permite a otra herramienta manejar sesiones de ScreenConnect sin pasar por la consola del técnico. RMM+ no usa las cuentas, los roles ni la verificación en dos pasos de la plataforma: se autentica con una clave compartida guardada en sus ajustes. En las versiones 1.0.31 y 1.0.32 esa clave nacía vacía, y la comprobación aceptaba el valor en blanco si el administrador nunca fijó una.

Ese detalle calza con lo visto en los registros: los comandos llegaron a equipos de varias instancias en minutos, sin actividad de inicio de sesión que los acompañara, y las marcas apuntaban a RMM+. La mayoría de las instalaciones de esa extensión que Huntress encontró eran legítimas, puestas para un proyecto y olvidadas después. Una herramienta olvidada, con la clave en blanco, quedó como puerta lateral de paneles enteros.

ConnectWise desactivó cinco extensiones en unos 400 entornos de socios como precaución: Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link y RMM+ Password Link. La compañía recalcó que tener una de esas extensiones instalada no equivale a estar comprometido, y afirmó que no halló pruebas de un daño a su infraestructura ni de un fallo en el propio ScreenConnect.

La trampa que espera al técnico

El cliente falso fue solo la primera mitad. El comando inicial descargó un instalador controlado por el atacante y un cuentagotas que trajo SCKit cifrado, atado al identificador único de cada máquina. Un componente instala exclusiones en Microsoft Defender y un segundo cliente remoto del atacante; otro, TrapWatch, compila en el propio equipo el código fuente RelayTrap.cs y prepara un proceso invitado falso que sustituye al legítimo sin cambiar la apariencia de la sesión.

RelayTrap aguarda. Cuando el técnico abre la sesión con el equipo comprometido, la transferencia arranca a los dos segundos y medio: un archivo llamado Run-Lateral-Full.bat viaja en dirección contraria a la normal, del equipo del cliente a la estación del técnico, amparado en CVE-2026-84869, un fallo de transferencia de archivos del cliente de ScreenConnect con nota 9,9 sobre 10, corregido por ConnectWise en septiembre con la versión 26.6.5. El patrón invierte el soporte —el equipo que pide ayuda ataca a quien llega a ayudar—, una vuelta que ya asomó en octubre con el fallo de TeamViewer que apuntaba al técnico.

Si ese salto prosperara, otros componentes robarían la cookie de sesión de ScreenConnect guardada en el navegador del técnico y la reutilizarían para abrir su panel sin clave ni segundo factor. Desde esa sesión, el plan pasaba por enumerar los equipos alcanzables y empujar otra carga por la caja de herramientas compartida de la plataforma, con borrado del elemento a los 60 segundos.

Esa segunda mitad, la que convierte a SCKit en gusano, no se ha visto funcionar. Huntress revisó los registros de equipos recuperados y el intento de tomar la consola falló en todos. Blackpoint Cyber recuperó el cargador desde la infraestructura del atacante y repitió el intento contra un cliente parcheado: el invitado falso puso el archivo en cola, pero el cliente nunca lo pidió ni lo ejecutó. Para Sam Decker y Nevan Beal, de Blackpoint, el paquete está confirmado; la explotación exitosa y el rodeo al parche, no.

La respuesta práctica empieza por no abrir la trampa: Huntress pide no conectarse por ScreenConnect a un equipo sospechoso y trabajar por otra vía, con herramientas separadas de respuesta. El equipo se aísla, se retira el cliente falso y su persistencia —la tarea programada TrapWatch, la carpeta C:\ProgramData\RelayTrap y el valor RelayTrapLiteAlert en el arranque— y se revocan las sesiones y credenciales expuestas desde un dispositivo limpio. También toca auditar el historial de comandos y de la caja de herramientas del panel, y llevar los clientes a la versión 26.6.5 o posterior.

Queda un dato que dimensiona el caso: las 288 máquinas y las 48 organizaciones cuentan solo a los clientes de Huntress, así que la cifra real puede ser mayor. En septiembre ya corrió una actividad parecida con clientes falsos de ScreenConnect, y de aquella oleada salió el parche del fallo que RelayTrap intenta aprovechar ahora. La pieza que falta es la primera: quién entró, por cuál panel y con qué credencial exacta, porque ConnectWise mantiene que el acceso inicial continúa sin identificarse.

Fuente: Huntress