Los atacantes han tomado el control de paneles de ScreenConnect alojados en la nube y los han utilizado para distribuir un kit de herramientas personalizado llamado SCKit en al menos 288 dispositivos gestionados en 48 organizaciones.

La empresa de seguridad Huntress detectó la actividad por primera vez el 11 de noviembre de 2026, y afirma que los 288 hosts fueron afectados en unos 90 minutos. Huntress informa que aproximadamente un tercio de ellos fueron atacados en los primeros 10 minutos.

El atacante utilizó la función de comando Run en el panel de ScreenConnect para enviar comandos a muchos endpoints a la vez. Estos comandos se ejecutaron con derechos de SYSTEM, que es el nivel más alto en Windows. El comando primero comprobó si existía un cliente de ScreenConnect; después, descargó un instalador malicioso en C:\Windows\TEMP\sc.msi y lo instaló silenciosamente.

Huntress dice que está trabajando con ConnectWise en el caso. Los informes indican que las versiones más recientes de ScreenConnect, 26.6.6.9747 y 26.7.6.9783, están afectadas. ConnectWise afirma que no ha encontrado indicios de que sus propios sistemas hayan sido vulnerados ni fallos en el propio ScreenConnect.

ConnectWise ScreenConnect Secuestrado

En un aviso público publicado el 11 de noviembre, ConnectWise nombró cinco extensiones externas que podrían estar vinculadas a la actividad. Estas son Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link y RMM+ Password Link. La empresa las desactivó en unos 400 entornos de socios como medida de seguridad.

ConnectWise explica que estas extensiones ofrecen una API que puede ejecutar comandos remotos, y que una contraseña establecida por el socio protege dicha API. El hecho de tener una extensión instalada no prueba que haya habido una intrusión.

La empresa aún no ha encontrado el primer punto de entrada ni el alcance total. Los socios que ejecuten servidores en sus propias instalaciones deben desactivar las extensiones ellos mismos, ya que ConnectWise no puede hacerlo por ti.

SCKit es un paquete de 16 archivos, que incluye scripts de PowerShell, archivos batch y datos de configuración. La máquina infectada envía su ID de Windows al servidor del atacante. El servidor responde con la clave necesaria para desbloquear una carga útil (payload) creada específicamente para esa máquina. Esto hace que los hashes de archivos sean una forma débil de detectar la amenaza.

A continuación, los scripts instalan un segundo cliente malicioso de ScreenConnect y añaden exclusiones a Microsoft Defender. También crean una herramienta llamada RelayTrap en C:\ProgramData\RelayTrap. Una tarea programada llamada TrapWatch detiene el cliente real de ScreenConnect y coloca la copia del atacante en su lugar. La máquina sigue pareciendo normal para el administrador. Huntress también señaló que el código C# de RelayTrap parece haber sido escrito con un modelo de IA.

El kit de herramientas tiene un segundo objetivo. Huntress encontró código diseñado para esperar hasta que un técnico se conecte a un dispositivo infectado. Entonces, descarga un "dropper" en la estación de trabajo del técnico y roba la cookie de sesión .aspxauth. Con esa cookie, el código intenta acceder a todas las demás sesiones que el técnico puede abrir y sube una carga útil a la Shared Toolbox del panel.

Huntress no ha visto que esta propagación funcione. La toma de control de la consola falló en cada registro de host que ha revisado hasta ahora. Aun así, el diseño muestra por qué debes tener cuidado como defensor.

No es la primera vez que los criminales vuelven ScreenConnect contra sus usuarios. En septiembre, se informó sobre clientes maliciosos de ScreenConnect similares a gusanos que pasaban scripts organizados entre máquinas Windows. Casi al mismo tiempo, CISA añadió la vulnerabilidad CVE-2026-84869 a su lista de Vulnerabilidades Explotadas Conocidas. Ese fallo permite transferencias de archivos durante una sesión en vivo sin la aprobación del host. Huntress dice que ConnectWise lo solucionó posteriormente, y obtuvo una puntuación de 9.9 en la escala CVSS.

Huntress y ConnectWise dan el mismo consejo fundamental. No te conectes a una máquina sospechosa a través de ScreenConnect, porque esa sesión puede trasladar el malware a tu propia estación de trabajo. Utiliza la respuesta en vivo de EDR, WinRM u otra herramienta ajena a ScreenConnect.

Tú y tu equipo también deberíais:

• Aislar los hosts afectados hasta que termine la limpieza. Huntress vio que algunas máquinas se reinfectaron después de levantar el aislamiento.
• Eliminar el cliente malicioso, la tarea TrapWatch, la carpeta RelayTrap y la clave de ejecución RelayTrapLiteAlert.
• Revisar el historial de Run Command y Toolbox en busca de trabajos que nadie haya iniciado.
• Revocar las sesiones web activas y rotar las credenciales desde un dispositivo limpio.

Los indicadores incluyen los dominios newnewnew.gotdns[.]org, soxnewwork.homedns[.]org, cdn007-digitaldownloads[.]com y ns.mo7sen[.]dev. También incluyen la dirección IP 185.99.255[.]28 y el nombre de participante Addmin. ConnectWise dice que la investigación sigue abierta y actualizará su aviso a medida que se confirmen los hechos.