Ataques via ScreenConnect indicam nova ameaça com atividade similar a worm

A nova onda de ataques via ScreenConnect, identificada pela Huntress, mostra uma evolução preocupante no modus operandi dos cibercriminosos. A propagação ocorre de forma similar a um worm, utilizando clientes ScreenConnect modificados para injetar e executar scripts VBScript (de 1.vbs a 4.vbs) através do sistema de transferência de arquivos. Ao se conectar a um cliente infectado, o host também recebe e executa essa cadeia de scripts, escalando a infecção de forma automatizada. Este comportamento amplifica o risco de ataques que exploram ferramentas RMM, algo que já destacamos na cobertura de 20 de março de 2026, com a notícia “Uso em Cadeia de Ferramentas RMM Maliciosas”.

Os scripts VBScript não agem aleatoriamente. Eles são um carregador multifásico que perfila o sistema da vítima, verificando a presença de soluções de segurança como o Microsoft Defender, a quantidade de RAM disponível e se há outras instalações do ScreenConnect. Com base nesse perfilamento, o ataque implanta backdoors de nível de usuário, pacotes com bypass de UAC ou combinações que incluem ferramentas como 'wstunnel' e o minerador de criptomoedas 'XMRig'. A persistência é estabelecida através de chaves de execução do WindowsServiceHost. Para defensores, monitorar entradas 'RunFiles' ou 'RanFiles' nos logs de auditoria do servidor ScreenConnect e verificar o WindowsServiceHost é crucial. A Huntress é categórica: sistemas comprometidos precisam de re-imagem, e não apenas de limpeza, para garantir a erradicação da ameaça.

A grande virada nesta cobertura é a resposta oficial da ConnectWise. Em 3 de setembro de 2026, a empresa publicou um advisory, reconhecendo a falha no "file transfer behavior" de seu produto ScreenConnect, tanto em versões na nuvem quanto on-premise. Antes, tínhamos apenas a detecção e o alerta da Huntress sobre os incidentes. Agora, a ConnectWise já promete um CVE e uma correção oficial para os próximos dias, além de ter fornecido medidas mitigadoras temporárias, como a desativação das permissões de TransferFiles ou TransferFilesInSession. Isso indica uma evolução de um problema detectado para um problema endereçado pelo fabricante do software.

Esta ameaça é crítica porque explora uma ferramenta de gerenciamento remoto legítima, transformando-a em um vetor de propagação similar a um worm. O mecanismo de auto-replicação eleva exponencialmente o risco de uma única infecção inicial se transformar em um comprometimento sistêmico. Para empresas e governos, a capacidade de o malware se espalhar por novas sessões de conexão do ScreenConnect significa que a superfície de ataque aumenta com cada nova interação, tornando a contenção muito mais difícil. Além disso, a sofisticação do perfilamento do sistema e a entrega de payloads adaptados tornam a detecção e a remediação um desafio complexo, exigindo uma postura de segurança proativa e um plano de resposta robusto.