SCKit intenta propagarse entre MSP mediante ataques contra ScreenConnect

El 12 de noviembre de 2026, investigadores de Huntress y Blackpoint Cyber analizaron SCKit, un conjunto de 16 scripts y componentes empleado durante ataques recientes contra proveedores de servicios gestionados (MSP) que utilizan ScreenConnect. El malware busca mantener el acceso remoto y propagarse desde dispositivos de clientes hacia los equipos de los técnicos.

Una de sus funciones, RelayTrap, sustituye el proceso Guest legítimo de ScreenConnect en un equipo infectado y espera a que un técnico establezca una sesión interactiva. Entonces intenta enviar un archivo malicioso al equipo del técnico y ejecutar código mediante CVE-2026-84869, una vulnerabilidad de transferencia de archivos del cliente de ScreenConnect corregida por ConnectWise en la versión 26.6.5.

Sin embargo, Blackpoint Cyber confirmó en sus pruebas que el cliente actualizado impidió la ejecución del archivo. Huntress tampoco observó que el intento de tomar el control de las consolas tuviera éxito en los registros analizados. Ambas compañías indicaron que no disponen de pruebas de una explotación efectiva ni de un bypass de la corrección.

Otros componentes de SCKit intentan robar cookies de autenticación de ScreenConnect almacenadas en navegadores para secuestrar sesiones ya autenticadas. Con esos permisos, el malware puede enumerar equipos accesibles y distribuir comandos mediante funciones legítimas como Shared Toolbox, lo que permitiría comprometer endpoints de otras organizaciones administradas por el mismo MSP.

Los ataques analizados comprometieron al menos 288 endpoints de 48 organizaciones. Huntress atribuyó el acceso inicial con probabilidad a RMM+, una extensión de terceros para ScreenConnect cuyas versiones 1.0.31 y 1.0.32 presentaban un fallo de autenticación que permitía ejecutar comandos cuando no se había configurado una clave de acceso. ConnectWise deshabilitó cinco extensiones potencialmente relacionadas en aproximadamente 400 entornos de partners, sin que su presencia implique por sí sola una intrusión.

Huntress y Blackpoint Cyber recomiendan deshabilitar las extensiones afectadas, actualizar los clientes de ScreenConnect, investigar instalaciones de acceso remoto no autorizadas y revisar la actividad de Run Command y Toolbox. También aconsejan evitar sesiones interactivas con endpoints potencialmente infectados durante las investigaciones.

Fuente: BleepingComputer.