ScreenConnect: extensão de terceiros com segredo padrão é usada para assumir o controle de máquinas gerenciadas

Monitoramento cibernético da Top-Secured: análise independente baseada nas fontes citadas abaixo. A Top-Secured não é afiliada às empresas mencionadas e nunca pedirá seus dados bancários nem suas senhas.

A ConnectWise investiga acessos não autorizados a ambientes ScreenConnect de parceiros, que ela associa ao RMM+, uma extensão de terceiros cuja API aceita um segredo padrão (CVE-2026-127063, CVSS 9,3). As extensões foram desativadas na nuvem; nos servidores locais, cabe aos administradores fazê-lo.

O que aconteceu

Em 11 de novembro de 2026, a ConnectWise alertou que atacantes haviam obtido acesso não autorizado a alguns ambientes ScreenConnect de parceiros, sua ferramenta de suporte remoto muito usada por prestadores de serviços gerenciados (MSPs), e instalado softwares de acesso remoto não autorizados em máquinas dos clientes deles. Segundo a Huntress, que viu a atividade começar por volta das 17h47 UTC, pelo menos 288 máquinas em 48 organizações clientes da empresa foram atingidas em cerca de 90 minutos.

A ConnectWise afirma não ver sinais de comprometimento da própria infraestrutura e diz que o acesso inicial não explorou uma falha do ScreenConnect. Sua análise aponta para o RMM+, uma extensão desenvolvida por terceiros. A API dela é protegida por um segredo estático por padrão: instalações que o mantiveram podem aceitar requisições sem autenticação, inclusive comandos enviados às máquinas gerenciadas. A fraqueza é identificada como CVE-2026-127063 (CVSS 4.0: 9,3) e ainda não há versão corrigida.

Como os atacantes agiram

Segundo a Huntress, os atacantes usaram o recurso Run Command de consoles ScreenConnect hospedados na nuvem para executar comandos como SYSTEM, sem nenhum login correspondente nos logs. Eles implantaram um kit chamado SCKit, que instala um segundo cliente ScreenConnect sob seu controle, uma tarefa agendada TrapWatch e uma pasta RelayTrap em ProgramData, além de tentar roubar cookies de sessão. Foi encontrado código feito para se espalhar até as estações dos técnicos, mas a Huntress não o viu funcionar. Cerca de 400 ambientes de parceiros tinham uma extensão da família RMM+ instalada; a ConnectWise ressalta que isso, por si só, não comprova comprometimento.

O que fazer agora

1. Desative as extensões Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link e RMM+ Password Link. A ConnectWise fez isso na nuvem; nos servidores locais, cabe ao administrador.
2. Atualize os clientes de técnico para 26.6.5 ou posterior, que bloqueiam a técnica de propagação (CVE-2026-84869). Atualizar o console na nuvem não os atualiza.
3. Revogue todas as sessões web do ScreenConnect e as do provedor de identidade, redefina as credenciais e exija MFA: trocar a senha não encerra as sessões abertas.
4. Procure vestígios: comandos Run Command que você não executou, um segundo cliente ScreenConnect, a tarefa TrapWatch, a pasta RelayTrap, conexões com 185.99.255[.]28 ou 155.94.150[.]39.
5. Não examine uma máquina suspeita pelo ScreenConnect: use outro canal, como recomenda a Huntress.
6. Se um prestador gerencia suas máquinas, pergunte por escrito se ele usa essas extensões e o que verificou.

Nossa análise

Um plug-in instalado em um console de gerenciamento remoto herda o poder dele sobre todas as máquinas gerenciadas e merece a mesma atenção que o próprio console. Mantenha um inventário das extensões instaladas, remova as que não usa e nunca deixe um segredo padrão no lugar.

Fontes

• ConnectWise Trust Center — ScreenConnect security advisory: precautionary extension disabling and partner guidance
• ConnectWise Advisories (GitHub) — CVE-2026-127063
• Huntress — SCKit worm and rogue ScreenConnect clients
• The Record — ConnectWise investigates ScreenConnect breaches after reports of incidents at nearly 50 organizations

Como escolhemos, verificamos e escrevemos nossas análises →