ConnectWise ha desactivado cinco extensiones de terceros como medida preventiva tras los informes de accesos no autorizados a entornos de socios, según informó The Hacker News el 12 de noviembre de 2026. Huntress observó a atacantes que emitían comandos a través de paneles de gestión de ScreenConnect alojados en la nube para instalar clientes de acceso remoto no autorizados, dirigidos a al menos 288 endpoints gestionados de 48 organizaciones.
La respuesta afecta a los socios que usan Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link o RMM+ Password Link. ConnectWise encontró al menos una de estas extensiones en unos 400 entornos de socios; se trata de un recuento de instalaciones que no establece cuántos entornos fueron comprometidos. Se ha instado a los socios que alojan ScreenConnect en sus propias instalaciones a desactivar ellos mismos las extensiones.
En su aviso, según recogió The Hacker News, ConnectWise indicó que su evaluación preliminar apuntaba a un posible abuso de extensiones de terceros independientes. La empresa seguía investigando tanto el método de entrada como el alcance, sin pruebas de que su infraestructura hubiera sido comprometida ni de que estuviera implicada una vulnerabilidad de ScreenConnect. Las extensiones permiten que un software emita comandos remotos a través de una interfaz de programación de aplicaciones (API) protegida por una frase de contraseña que el socio elige durante la configuración.
Los clientes no autorizados ofrecen un punto de apoyo independiente
Huntress detectó la actividad por primera vez hacia las 17:47 UTC del 11 de noviembre de 2026. La empresa dijo a The Hacker News que su telemetría sugería que las credenciales robadas o las sesiones de operador secuestradas podían explicar el acceso a los paneles, aunque el método de entrada seguía sin resolverse y no había visto indicios de una nueva vulnerabilidad.
Una vez dentro de un panel, un atacante puede usar su función Run Command para instalar un cliente de ScreenConnect controlado por el atacante en los dispositivos gestionados. Esa instalación le da acceso continuo sin depender del panel original.
Los investigadores de Huntress Ben Nahorney y Susannah Matt identificaron SCKit como el kit de herramientas malicioso distribuido por los clientes fraudulentos. Además del acceso remoto persistente, establece una trampa destinada a interceptar las cookies de sesión, es decir, los datos del navegador que se usan para mantener las sesiones iniciadas.
El kit llega a través de una carga útil cifrada y de sckit-run.bat, un dropper (un script que descarga malware adicional) codificado en Base64, una forma de representar datos como texto. El script por lotes solicita sckit-decoder.ps1 a un servidor remoto; ese script de PowerShell inicia SCKit. Otros componentes están diseñados para excluir archivos o ubicaciones del análisis de Microsoft Defender, añadir otro cliente de ScreenConnect controlado por el atacante, registrar una tarea programada llamada TrapWatch y sustituir la instalación legítima por una controlada por el atacante.
El informe también describió indicios de posible participación de un modelo de lenguaje de gran tamaño en al menos un script, basados en referencias detalladas al código y en comentarios que explican su funcionamiento.
Un mecanismo de propagación reconstruido a partir de los archivos
El análisis de Huntress identificó un diseño similar a un gusano que podría convertir la conexión de un técnico en una vía hacia más dispositivos. Un endpoint infectado podría pasar el malware a la estación de trabajo del técnico que se conecta, donde las sesiones del navegador guardadas y los tokens de autenticación podrían exponer otros paneles de ScreenConnect. Esos tokens son credenciales que el software usa para autorizar el acceso.
Esta capacidad de propagación se dedujo en parte del análisis de las cargas útiles: Huntress no había observado una transferencia exitosa desde un endpoint infectado a la estación de trabajo de un técnico, ni desde esa estación hacia otros endpoints.
La secuencia reconstruida comienza con Run-Lateral-Full.bat. Usa la conexión para llegar a ns.mo7sen[.]dev y obtener un cargador, que recoge el identificador único de la estación de trabajo y lo envía al atacante. La respuesta suministra un kit de herramientas cifrado y personalizado para esa estación de trabajo.
Dos scripts, Panel-Lateral.ps1 y LabConfig.ps1, trabajan juntos para obtener la cookie de sesión .aspxauth. Intentan presentarla al panel como una sesión autenticada y obtener los tokens necesarios para listar otras sesiones accesibles para el técnico.
A continuación, ToolboxRelayUploader.exe utiliza el acceso obtenido para colocar WithUninstall.ps1 en la Shared Toolbox del panel. Una solicitud a través del panel indica a cada sesión accesible que ejecute ese elemento. La carga útil está diseñada para ejecutarse bajo SYSTEM, una cuenta de Windows con privilegios muy altos, e instalar la trampa en esos endpoints. Unos 60 segundos después de esa difusión, el cargador elimina el elemento de la Toolbox.
Huntress también encontró etiquetas numéricas secuenciales asignadas a proveedores de servicios gestionados comprometidos, empresas que administran sistemas de clientes. Como la numeración observada comenzaba a mitad de la secuencia, los investigadores sugirieron que otros proveedores podrían haber sido comprometidos antes.
Sophos registra un patrón de instalación coincidente
Una alerta independiente de Sophos describió implementaciones no autorizadas de ScreenConnect originadas en tres ID de instancia sospechosos de haber sido comprometidos: d905b2b1b165d0a9, 4b8f4089ddaac6a9 y df1f7ef0cfacd0d8. Las instancias maliciosas adicionales desplegadas mediante esta actividad tenían los ID 2588ef5c15954b10 y ed630cc2c873b091.
Una de las instalaciones observadas usó Curl.exe para obtener ScreenConnect.ClientSetup.msi desde 185.99.255[.]28 y guardarlo como C:\Windows\TEMP\sc.msi. Después, un archivo de comandos generado por ScreenConnect invocó msiexec.exe para instalar el paquete de forma silenciosa. Sophos también observó scripts que colocaban archivos por lotes en los sistemas y ejecutaban PowerShell con omisión de la directiva de ejecución para descargar un script de segunda etapa desde ns[.]mo7sen[.]dev/EadF.php?p=4.
Comprobaciones para socios y técnicos
ConnectWise facilitó los siguientes indicadores de compromiso (direcciones y archivos que pueden ayudar a los investigadores a buscar actividad relacionada):
- Direcciones IP:
185.99.255[.]28,155.94.150[.]39 - Dominios y URL:
ns[.]mo7sen[.]dev,ns[.]mo7sen[.]dev/EadF.php?p=4,sc[.]payproofkit[.]com,cdn007-digitaldownloads[.]com,newnewnew[.]gotdns[.]org,Soxnewwork[.]homedns[.]org - Archivos:
sckit-run.bat,sckit-decoder.ps1,TrapWatch.ps1,Panel-Lateral.ps1,Run-Lateral-Full.bat,runnew.cmd,ToolboxRelayUploader.exe,Sqlite3.exe
ConnectWise recomienda que todos los socios verifiquen que sus controles de seguridad funcionan y conserven registros que muestren actividad sospechosa. Su guía pide revisar:
- Inicios de sesión desde ubicaciones desconocidas, fallos repetidos de autenticación e indicaciones inesperadas de autenticación multifactor, que solicitan una verificación adicional de inicio de sesión.
- Cuentas de administrador creadas recientemente y permisos de usuario modificados.
- Instalaciones de extensiones, comandos remotos y operaciones en la Toolbox no previstas.
- Software de acceso remoto sin aprobación en dispositivos de clientes o estaciones de trabajo de técnicos.
- Solicitudes de soporte inesperadas, mensajes de restablecimiento de contraseña y descargas de software que llegan por un canal de confianza.
Los socios con implementaciones locales deberían desactivar las cinco extensiones identificadas por ConnectWise. Los usuarios de ScreenConnect también deberían revisar su historial de Run Command aunque no se haya disparado ninguna alerta.
