ScreenConnect corrige falha explorada pelo malware SCKit

O relato mais recente alega que operadores do malware SCKit estão mirando técnicos de suporte do ScreenConnect. A campanha exploraria uma falha já corrigida, classificada com nota 9,9, para tentar sequestrar sessões e alcançar redes de clientes de provedores de serviços gerenciados, os MSPs. Segundo a publicação, a correção bloqueia a exploração da falha, mas não elimina o risco de sequestro de sessões.[1]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

A cadeia descrita começa em uma vulnerabilidade de uma extensão legítima, supostamente usada para contornar a autenticação do ScreenConnect. Depois desse acesso, os invasores implantariam malware e tentariam assumir sessões de técnicos, aproveitando a posição privilegiada desses profissionais para avançar até ambientes de clientes.[2]Hackers Deploy Malware in Fresh ScreenConnect Campaignsecurityweek.com · rssAbrir fonte originalVer na lista de fontes[1]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

Técnicos de suporte costumam ter acesso remoto a vários ambientes. Por isso, o sequestro de uma única sessão pode funcionar como ponte para redes de diferentes clientes, tornando o risco potencialmente maior do que a invasão de uma instalação isolada do ScreenConnect.[1]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

A resposta precisa considerar duas frentes: aplicar a correção que, segundo o relato, impede a exploração da falha, e investigar separadamente possíveis sessões sequestradas. Confiar apenas no patch pode não resolver uma sessão que já tenha sido comprometida.[1]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

Os relatos associam a campanha ao SCKit, a uma extensão legítima vulnerável e a tentativas de sequestro de sessões. As evidências fornecidas não identificam a extensão, a CVE, as versões afetadas, o número de organizações atingidas, os indicadores técnicos do malware nem quem estaria por trás da operação.[2]Hackers Deploy Malware in Fresh ScreenConnect Campaignsecurityweek.com · rssAbrir fonte originalVer na lista de fontes[1]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

A SecurityWeek afirma que os atacantes exploraram uma vulnerabilidade em uma extensão legítima para contornar a autenticação. Já o The Hacker News descreve o foco em técnicos de TI e ressalta que corrigir a falha não impediria, por si só, o sequestro de sessões.[2]Hackers Deploy Malware in Fresh ScreenConnect Campaignsecurityweek.com · rssAbrir fonte originalVer na lista de fontes[1]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

O relato anterior apresentou o caso como uma nova campanha de implantação de malware por meio do ScreenConnect. A atualização posterior acrescentou uma cadeia mais específica: SCKit, técnicos de suporte como alvo e sessões desses profissionais como possível caminho até redes de clientes de MSPs.[2]Hackers Deploy Malware in Fresh ScreenConnect Campaignsecurityweek.com · rssAbrir fonte originalVer na lista de fontes[1]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

2 grupos independentes, 2 atualizações e 4 interações.

O mecanismo técnico relatado envolve uma vulnerabilidade de nota 9,9 em uma extensão legítima do ScreenConnect. Ela permitiria contornar a autenticação, enquanto o SCKit buscaria sequestrar sessões de técnicos. A correção atuaria sobre a exploração inicial, não necessariamente sobre sessões já tomadas.[2]Hackers Deploy Malware in Fresh ScreenConnect Campaignsecurityweek.com · rssAbrir fonte originalVer na lista de fontes[1]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

A base disponível reúne uma nota curta da SecurityWeek e uma publicação do The Hacker News no X, vinculada a uma matéria cujo item RSS não traz corpo de texto. As fontes convergem sobre exploração, implantação de malware e risco às sessões, mas não oferecem documentação primária, telemetria, indicadores de comprometimento ou dados de impacto que permitam verificar independentemente essas alegações.[2]Hackers Deploy Malware in Fresh ScreenConnect Campaignsecurityweek.com · rssAbrir fonte originalVer na lista de fontes[3]thehackernews.comthehackernews.com · rssAbrir fonte originalVer na lista de fontes[1]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes