Worm SCKit instala clientes ScreenConnect falsos e tenta roubar session cookies em centenas de endpoints

Em 11 de novembro de 2026, a Huntress viu um operador usar acesso a vários painéis ScreenConnect hospedados na nuvem para disparar comandos Run, como SYSTEM, em grupos de endpoints. O comando checava se já havia um cliente ScreenConnect, baixava um instalador controlado pelo atacante (C:\Windows\TEMP\sc.msi), instalava em modo silencioso e gravava um dropper em base64. Esse dropper busca o SCKit, um pacote de 16 arquivos (PowerShell, batch e .cmd). O kit chega cifrado, e a chave vem do servidor com base no UUID da máquina infectada. Foram 288 hosts em 48 organizações, todos em 90 minutos, cerca de um terço nos primeiros 10.

A persistência fica em C:\ProgramData\RelayTrap, com a tarefa agendada TrapWatch e um executável compilado por host. O cliente legítimo é parado e colocado em início manual, e a cópia do atacante assume o lugar. Também há exclusões no Defender. A Huntress relaciona a atividade à extensão RMM+, versões 1.0.31 e 1.0.32, que aceita access key em branco e dispensa contas, papéis e MFA. A ConnectWise listou cinco extensões de terceiros possivelmente associadas, disse que ainda não tinha identificado o vetor inicial nem o escopo completo, e as desativou em 400 ambientes de parceiros.

A etapa de roubo do cookie .aspxauth, que levaria o worm do endpoint ao técnico e depois aos outros endpoints do painel, foi reconstruída pela análise do código. A Huntress diz que a tomada do console falhou em todos os logs de hosts recuperados até agora. Mitigação: não conectar ao host suspeito via ScreenConnect, usar EDR live response ou WinRM, isolar, remover cliente falso, TrapWatch e RelayTrap, revogar sessões e girar credenciais. Houve reinfecção após o fim do isolamento.

Em 4 de setembro de 2026, o CEVIU noticiou "Ataques via ScreenConnect indicam nova ameaça com atividade similar a worm", sobre instalações maliciosas do ScreenConnect com comportamento de worm. Segundo a fonte atual, em setembro a Huntress já tinha acionado uma resposta rápida a atividade parecida, e a ConnectWise corrigiu depois uma falha crítica de transferência de arquivos (CVE-2026-84869, CVSS 9.9). Agora o vetor aparente é outro: uma extensão de terceiros (RMM+) com autenticação falha, além de um toolkit nomeado (SCKit) e ações em massa pelos painéis.

Para quem opera ScreenConnect, a leitura é que o risco passou do software base para o ecossistema de extensões. Vale inventariar extensões, checar se há access key vazia e auditar o histórico de Run Command e Toolbox. Para quem responde a incidente, o cuidado operacional central é não abrir sessão interativa no host suspeito.