Uma campanha de ataques cibernéticos comprometeu pelo menos 288 computadores de 48 organizações por meio do uso indevido do ConnectWise ScreenConnect, ferramenta utilizada por empresas de suporte técnico para acessar dispositivos remotamente.
A atividade maliciosa foi identificada em 11 de novembro pela empresa de cibersegurança Huntress.
Os invasores utilizaram painéis administrativos do ScreenConnect para executar comandos e instalar clientes de acesso remoto não autorizados nos computadores das vítimas.
Os ataques também envolveram uma ferramenta maliciosa chamada SCKit, desenvolvida para manter o acesso aos dispositivos comprometidos e dificultar sua remoção.
O malware possui mecanismos para modificar configurações de segurança, instalar componentes adicionais e tentar ampliar o acesso a outros sistemas.
Após receber os alertas, a ConnectWise desativou preventivamente cinco extensões de terceiros associadas à investigação.
A empresa identificou aproximadamente 400 ambientes de parceiros que possuíam pelo menos uma dessas extensões instaladas. Entretanto, isso não significa que todos tenham sido invadidos.
A ConnectWise informou que não encontrou evidências de comprometimento de sua própria infraestrutura ou de uma nova vulnerabilidade no ScreenConnect.
A forma como os criminosos obtiveram o acesso inicial ainda está sendo investigada.
A fabricante recomenda que administradores revisem registros de acesso, investiguem comandos suspeitos e procurem instalações desconhecidas de ferramentas de suporte remoto.
Também orienta que empresas com instalações locais desativem as extensões identificadas e verifiquem possíveis sinais de comprometimento.
