A campanha em andamento contra implantações do ConnectWise ScreenConnect envolve a exploração de uma falha crítica de segurança no software de acesso remoto que já foi corrigida, e não de uma nova vulnerabilidade, segundo foi revelado.
O Grupo de Perseguição a Adversários (APG) da Blackpoint Cyber, que compartilhou os detalhes com o The Hacker News, afirmou que o conjunto de ferramentas recuperado do atacante explora a CVE-2026-84869 (identificador padronizado de vulnerabilidade), com pontuação CVSS de 9,9 (sistema de medição de gravidade de falhas). Trata-se de uma vulnerabilidade de gerenciamento inadequado de privilégios e de ausência de autorização que poderia permitir ao invasor transferir e executar arquivos por meio de uma sessão remota ativa, sem autorização ou confirmação do host.
A empresa de cibersegurança confirmou que testes em um cliente ScreenConnect totalmente corrigido impedem com êxito a execução da carga útil da exploração.
“Nossos testes confirmaram que a exploração tem como alvo a CVE-2026-84869 e que a correção existente a bloqueia com êxito”, disseram os pesquisadores da APG, Sam Decker e Nevan Beal. “Essa é uma descoberta importante para as equipes de segurança.”
“Mas o conjunto de ferramentas também inclui recursos para sequestrar sessões de operadores autenticados e usar recursos legítimos de gerenciamento do ScreenConnect para enviar código malicioso. A correção resolve a exploração conhecida, mas não elimina os riscos associados a uma sessão de operador comprometida.”
Vale destacar que o malware SCKit contém uma funcionalidade chamada RelayTrap, usada para realizar um pivoteamento reverso e infectar as estações de trabalho de técnicos que tentam investigar atividades suspeitas em um endpoint gerenciado. Em outras palavras, a atividade abusa de funcionalidades confiáveis e não depende de uma vulnerabilidade de software depois que o invasor obtém uma sessão válida.
A sequência de ataque usa a funcionalidade Run Command, integrada à plataforma, para executar comandos. Primeiro, verifica-se se já existe uma instalação do ScreenConnect. Depois, baixa-se e executa-se um instalador MSI (formato de pacote do Windows Installer) controlado pelo atacante, o “sc.msi”, que entrega o script em lote dropper, o “sckit-run.bat”.
O script em lote dropper contata em seguida “ns.mo7sen[.]dev” para obter um decodificador em PowerShell (“sckit-decoder.ps1”) e, por fim, implantar diversos componentes associados ao conjunto de ferramentas SCKit.
Isso inclui um script em PowerShell (“SilentForceInstall-WithUninstall.ps1”) usado para estabelecer acesso remoto persistente ao implantar dois clientes Access do ScreenConnect não autorizados, além de um conjunto de scripts e código em C# projetado para interferir em sessões existentes de convidados (Guest) do ScreenConnect, incluindo o RelayTrap.
O componente tenta uma técnica de execução de arquivo do convidado para o host associada à CVE-2026-84869, substituindo o ScreenConnect Guest legítimo e enviando a carga do SCKit de volta ao técnico que se conecta, para execução.
Se essa ação for bem-sucedida, o malware tenta recuperar as sessões autenticadas do navegador do técnico no ScreenConnect e aproveitar suas permissões de gerenciamento existentes para distribuir comandos a outros endpoints aos quais ele tenha acesso. Como resultado, o invasor pode ir além do sistema comprometido original e chegar a outros ambientes de clientes por meio da mesma infraestrutura usada para administrá-los.
“Como esses comandos foram executados por meio de agentes já existentes do ScreenConnect, os atacantes puderam instalar software adicional no contexto NT AUTHORITY\SYSTEM sem precisar estabelecer um método de execução separado em cada máquina”, afirmou a Blackpoint Cyber.
“Os clientes Access não autorizados dão aos atacantes controle persistente sobre o endpoint, enquanto os componentes RelayTrap posicionam o malware para interceptar conexões legítimas de suporte. Em vez de apenas impedir que administradores acessem uma máquina infectada, o conjunto de ferramentas tenta usar a próxima conexão deles como uma oportunidade para estender a invasão diretamente à estação de trabalho do técnico.”
O objetivo final do ataque parece ser os técnicos, já que eles se conectam regularmente a endpoints gerenciados de diferentes clientes, normalmente a partir de estações de trabalho com acesso a ferramentas administrativas e sessões de gerenciamento autenticadas. Isso permite que os atacantes saiam do endpoint original e levem a invasão a um ambiente com acesso e privilégios potencialmente mais amplos.
Assim que o malware é executado na máquina do técnico, ele deixa de manipular o suporte remoto e passa ao roubo de sessão: vasculha os dados locais do navegador e a memória dos processos da máquina para recuperar uma sessão de gerenciamento autenticada existente (ou seja, cookies .ASPXAUTH), que pode ser usada para propagar o malware a outros endpoints sem precisar obter suas credenciais.
“Ao tentar primeiro comprometer a estação de trabalho de um técnico e depois recuperar a sessão autenticada dele no ScreenConnect, o SCKit busca transformar o acesso a um único endpoint gerenciado em uma oportunidade de alcançar outros sistemas sob o controle desse técnico”, afirmaram os pesquisadores.
O The Hacker News entrou em contato com a ConnectWise para comentar e atualizará a matéria caso receba resposta.
Vale notar que a CVE-2026-84869 já havia sido explorada em uma série de ataques nos quais agentes de ameaça usaram o ScreenConnect para distribuir a hackers um roteiro malicioso em Visual Basic Script (VBScript) de quatro estágios a sistemas recém-conectados, até, por fim, instalar um minerador de criptomoedas XMRig.
A vulnerabilidade foi incluída pela Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) em seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) em 11 de setembro de 2026, exigindo que agências federais apliquem as correções até 14 de setembro de 2026.
Em resposta ao incidente mais recente, a ConnectWise tomou a medida preventiva de desativar cinco extensões de terceiros em ambientes de parceiros. No entanto, a Blackpoint Cyber afirmou não ter encontrado nenhuma ligação técnica entre essas extensões e o SCKit.
Até o fechamento desta matéria, não há evidências de que a atividade tenha conseguido se propagar para a estação de trabalho de um técnico ou contornado a correção do fabricante para a CVE-2026-84869.
As descobertas reforçam a importância de aplicar as correções nos clientes do ScreenConnect e evidenciam a necessidade de proteções mais robustas para as sessões de operadores, incluindo validação de sessão mais rigorosa e autenticação adicional para ações administrativas em massa, afirmou a Blackpoint Cyber.
“As organizações precisam proteger essas sessões e criar salvaguardas adicionais em torno de ações administrativas de alto impacto”, afirmaram os pesquisadores.
“Para MSPs (provedores de serviços gerenciados), a lição prática é investigar a relação de gerenciamento, e não apenas o endpoint. Instalações não autorizadas de Access, o histórico de comandos administrativos, as estações de trabalho dos técnicos e as sessões de navegador merecem atenção, especialmente quando profissionais de suporte já se conectaram a um sistema suspeito.”
Falha de autenticação encontrada no RMM+ (ferramenta de gestão remota e monitoramento)
A Huntress, em uma atualização, disse ter identificado uma falha grave de autenticação nas versões 1.0.31 e 1.0.32 do RMM+, uma das cinco extensões de terceiros do ScreenConnect que já foram bloqueadas pela ConnectWise.
“Quando um administrador não havia configurado uma chave de acesso, a extensão aceitava uma chave em branco, o que poderia permitir a execução de comandos não autorizados sem passar pelos controles normais de autenticação do ScreenConnect”, afirmou a empresa em comunicado compartilhado com o The Hacker News.
O RMM+ permite que outra ferramenta gerencie sessões do ScreenConnect sem que um técnico precise trabalhar pelo console. Ele autentica as solicitações com uma chave de acesso compartilhada (“RMMPlus.AccessKey”) armazenada nas configurações da extensão. No entanto, nas versões 1.0.31 e 1.0.32, o valor padrão dessa chave é em branco.
Como o RMM+ opera de forma independente das contas de usuário, dos papéis e dos controles de autenticação normais do ScreenConnect, um invasor poderia, em tese, executar comandos no dispositivo sem contornar a autenticação multifator (MFA).
“Os comandos chegaram a endpoints de várias instâncias do ScreenConnect em minutos. Não houve atividade de login correspondente, e os comandos que aparecem nos registros analisados estão vinculados ao RMM+.”
Vale mencionar que, embora a ferramenta tenha capacidade de explorar a CVE-2026-84869, não há evidências de que um cliente ScreenConnect sem correção tenha sido o ponto de entrada inicial do ataque.
“No momento, o acesso inicial parece estar ligado a extensões maliciosas do ScreenConnect, embora não tenhamos evidências suficientes para confirmar isso”, disse Beal, principal analista de MDR (detecção e resposta gerenciadas) da Blackpoint, ao The Hacker News.
“Identificar o paciente zero exigiria evidências forenses adicionais dos ambientes afetados. Da mesma forma, embora 11 de novembro marque a atividade mais antiga divulgada publicamente, não podemos descartar comprometimentos anteriores sem uma investigação mais aprofundada. Nossas descobertas confirmam as capacidades do conjunto de ferramentas, mas não estabelecem quando ou como o comprometimento inicial ocorreu.”
Procurado para comentar, um porta-voz da ConnectWise disse ao The Hacker News que a empresa tem conhecimento de relatos de atividade maliciosa que afeta um número limitado de parceiros do ScreenConnect e que está investigando ativamente o incidente.
“Embora o método de acesso inicial ainda não esteja confirmado, nossa avaliação preliminar sugere que a atividade pode envolver o abuso, por um agente de ameaça, de extensões independentes de terceiros instaladas em ambientes de parceiros”, disse o porta-voz.
“Desativamos as extensões identificadas sempre que podemos agir, como medida preventiva, e estamos orientando os parceiros que usam instalações locais a desativá-las imediatamente. A presença dessas extensões, por si só, não comprova comprometimento. Incentivamos os parceiros a revisar as orientações preventivas no Trust Center da ConnectWise, onde publicaremos atualizações conforme as informações forem validadas.”
(A matéria foi atualizada após a publicação para incluir respostas e comentários da ConnectWise, da Blackpoint Cyber e da Huntress.)
