Ataques activos contra ScreenConnect comprometen MSP y afectan a decenas de organizaciones

11 de noviembre de 2026. ConnectWise investiga una campaña activa contra proveedores de servicios gestionados (MSP) que utiliza entornos comprometidos de ScreenConnect para desplegar clientes de acceso remoto no autorizados en dispositivos de sus clientes. Huntress ha identificado seis MSP afectados y más de 286 endpoints comprometidos en 47 organizaciones, aunque advierte de que las cifras siguen aumentando.

Según Huntress, los atacantes emplean la función Run Command de ScreenConnect para instalar clientes ScreenConnect maliciosos, lo que les proporciona acceso remoto fuera del entorno legítimo del MSP. La firma también ha alertado de que un técnico podría comprometer su estación de trabajo al iniciar una sesión interactiva con un dispositivo infectado. Huntress indicó que la actividad parece abusar de funcionalidades legítimas y de herramientas desarrolladas específicamente para la campaña, sin que se haya confirmado el mecanismo de acceso inicial.

ConnectWise ha desactivado como medida preventiva cinco extensiones de terceros en aproximadamente 400 entornos de partners: Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link y RMM+ Password Link. La empresa señaló que podrían estar relacionadas con los ataques, aunque su mera presencia no demuestra que un entorno haya sido comprometido. Los clientes de ScreenConnect on-premises deben desactivarlas manualmente y no volver a instalarlas o habilitarlas hasta recibir nuevas instrucciones.

La compañía advirtió de que desactivar las extensiones no elimina software malicioso, mecanismos de persistencia ni accesos no autorizados que ya puedan haberse establecido. ConnectWise recomendó revisar los registros de autenticación, instalación de extensiones, actividad administrativa, historial de Run Command y registros de Toolbox. También aconsejó evitar sesiones interactivas de ScreenConnect con dispositivos potencialmente comprometidos y utilizar herramientas de seguridad independientes para su análisis.

Huntress señaló que sus datos apuntan a credenciales comprometidas o sesiones de operadores secuestradas, y que identificadores secuenciales asignados por los atacantes sugieren que otros MSP podrían haber sido comprometidos anteriormente. La firma ha compartido indicadores de compromiso, incluidos identificadores de clientes ScreenConnect no autorizados, infraestructura de mando y control y archivos asociados a la campaña.

ConnectWise ha recibido informes sobre estaciones de trabajo de técnicos comprometidas durante sesiones interactivas, aunque todavía los está verificando. La empresa indicó que no tiene motivos para creer que los partners que no hayan instalado las cinco extensiones identificadas estén afectados, pero pidió a todos mantener un nivel elevado de vigilancia.

Fuente: BleepingComputer.