ScreenConnect sesiones falsas: 118 servidores, cebo cripto

ScreenConnect sesiones falsas con nombres de casas de cambio aparecieron en 118 servidores de 109 organizaciones, y nadie las instaló. Huntress contó 2.223 sesiones falsas en las bases de datos que pudo revisar, con registros entre el 3 y el 13 de noviembre, y el conteo total de sesiones no autorizadas llega a 2.408. El aviso llegó el 12 de noviembre, cuando un proveedor de servicios gestionados, un MSP, preguntó por máquinas desconocidas en línea en su consola, sin empresa ni dueño visibles.

ScreenConnect es el programa de acceso remoto de ConnectWise que muchos MSP usan para atender las computadoras de sus clientes desde servidores propios. Cada equipo cliente queda registrado como invitado en la consola, visible aunque ningún técnico esté conectado. Las máquinas falsas copian ese aspecto: nombre de casa de cambio, miniatura de un escritorio de compraventa y estado en línea permanente. Los nombres combinan una marca cripto con una función, tipo KUCOIN-SRV, SRV-BINANCE, BACKUP-PROBIT y DASH-BITMEX, y Huntress distinguió más de 1.000 nombres distintos.

Registrar un invitado exige la dirección de retransmisión del servidor, un dato que viaja dentro del instalador de acceso de cada MSP. En el primer servidor revisado, ese instalador se podía descargar en público, y un servicio de análisis lo había recogido a mediados de octubre. ConnectWise entrega esos instaladores sin autenticación por diseño: un instalador filtrado basta para sembrar invitados en la consola ajena. El servidor del MSP que dio el aviso estaba limpio: las sesiones eran entradas reales en su base de datos.

El 97,8 % de las conexiones con nombre cripto salió de una sola IP, 74.208.158.106, alojada en IONOS. Otra IP residencial de Egipto, 197.47.160.252, creó las tres primeras sesiones el 3 de noviembre a las 21:26 UTC. El operador mantenía la escenografía con disciplina de relojero: volvía cada 151 segundos, las conexiones duraban unos 64 minutos y las sesiones se reconectaban cada 55 minutos para seguir en línea, en el mismo orden durante diez días.

Un cebo pensado para el técnico que abra la sesión

Huntress no halló actividad maliciosa saliendo de las sesiones falsas: ni archivos ni comandos desde el lado invitado. Los eventos vinieron del lado del técnico. Varios abrieron una sesión falsa, casi siempre por menos de 30 segundos. Uno se quedó más tiempo y usó dos veces la función de enviar texto; como ScreenConnect no guarda ese texto, la firma lo trató como una posible exposición de credenciales y avisó al MSP. Otro técnico envió un comando de borrado y el comando se entregó sin devolver salida alguna.

La hipótesis principal de Huntress apunta a un cebo. Si un técnico conecta con una máquina falsa, un invitado malicioso podría aprovechar CVE-2026-84869, una falla crítica de ScreenConnect divulgada el 8 de septiembre: el invitado puede disparar transferencias de archivos que la estación del técnico acepta y ejecuta sin preguntar, incluso con privilegios elevados. Esa estación suele ser la computadora con más permisos del MSP. La firma aclara que no vio ninguna sesión falsa empujar o ejecutar un archivo, y deja abierta otra vía: capturar lo que un técnico teclee dentro de la sesión.

La explicación amable quedó descartada con datos. En foros se planteó que las máquinas fueran análisis de Joe Sandbox, un servicio que ejecuta instaladores para estudiarlos. Ese entorno envía una clave y capturas reales; estas sesiones no envían clave, reutilizan siete familias de miniaturas y aleatorizan el hardware, un patrón de emulador programado. Tampoco hay solape con el gusano SCKit del 11 de noviembre, el ataque que instaló clientes remotos ajenos en 288 equipos y que ya quedó contado en la pieza sobre ese malware en ScreenConnect: Huntress comparó los indicadores publicados y no encontró coincidencias entre un caso y otro.

Qué deben revisar los proveedores esta misma semana

La corrección directa es subir los clientes de ScreenConnect a la versión 26.6.5 o posterior, incluidos los agentes de acceso. Quien no pueda actualizar ya tiene la guía de ConnectWise para retirar el permiso TransferFiles de roles y grupos de sesiones. La otra barrera es humana y barata: prohibir a los técnicos entrar en sesiones que no se puedan atar a un cliente concreto. Nombre de casa de cambio, campo de empresa vacío o versión de invitado 25.3.4.9288 deben frenar el clic y abrir una revisión, no una conexión.

Antes de borrar las sesiones falsas conviene guardar copia de App_Data\Session.db y de su archivo WAL, porque ahí queda si un técnico llegó a entrar y si se movieron archivos o texto. La revisión debe separar la actividad del técnico de la del invitado: una sesión falsa sola prueba alcance, no exposición. Si un cliente sin parche llegó a conectar, toca revisar las carpetas Temp y Startup de esa estación y su historial de procesos. Limitar la descarga de instaladores, reconstruir los filtrados y apartar las sesiones desconocidas a un grupo poco hojeado corta el registro nuevo; bloquear la IP conocida ayuda, con la salvedad de que el operador puede mudarse.

El dato que queda es incómodo por simple: 2.408 sesiones falsas aguantaron diez días visibles en consolas profesionales sin que nadie las hubiera pedido, mantenidas cada 151 segundos desde una sola IP. Ninguna empujó un archivo en lo observado. El riesgo no es lo que hicieron: es la puerta que dejan abierta el día que un técnico con prisa haga clic en KUCOIN-SRV creyendo que atiende a un cliente.

Fuente: Huntress