Campaña explota CVE-2026-84869 en ScreenConnect; SCKit busca escalar privilegios y pivotar

Una campaña activa contra despliegues de ConnectWise ScreenConnect (también conocido como ConnectWise Control) se ha basado en la explotación de una vulnerabilidad ya conocida y parcheada, no en un fallo nuevo. Investigadores de Blackpoint Cyber han identificado un kit de herramientas malicioso —denominado SCKit— que aprovecha CVE-2026-84869 (CVSS 9.9), una falla de gestión de privilegios y autorización faltante que permite ejecución de ficheros desde una sesión remota activa sin confirmación del host. Según las pruebas compartidas por la compañía, la explotación del fallo queda bloqueada si el cliente ScreenConnect está totalmente parcheado, pero el conjunto de herramientas incluye técnicas adicionales para aprovechar sesiones de operadores ya autenticados, lo que aumenta el riesgo aunque el parche esté aplicado.

En términos comprobados: Blackpoint Cyber recuperó y analizó el toolkit y documentó la cadena de ataque técnica que sigue. El exploit conocido intenta un “guest-to-host file execution” asociado a CVE-2026-84869; el kit además despliega componentes que instalan clientes de acceso no autorizados con contexto NT AUTHORITY\SYSTEM y una función llamada RelayTrap diseñada para "reverse-pivot": infectar las estaciones de trabajo de los técnicos que intenten investigar un endpoint comprometido, usando la propia funcionalidad de soporte remoto como vector de propagación. ConnectWise ha reconocido la investigación y ha deshabilitado de forma preventiva cinco extensiones de terceros en algunos entornos de partners mientras sigue indagando.

Técnicamente, la secuencia que Blackpoint describe es la siguiente: el atacante usa la funcionalidad de Run Command de ScreenConnect para comprobar si existe una instalación del producto, descarga un instalador MSI controlado por el atacante (identificado en el análisis como "sc.msi") que ejecuta un dropper en lote ("sckit-run.bat"); éste descarga un decodificador PowerShell ("sckit-decoder.ps1") desde un dominio controlado y, a partir de ahí, despliega varios componentes —incluido un script PowerShell para forzar instalaciones silenciosas y un conjunto de scripts/C# que interfieren con sesiones Guest. Si tiene éxito en reemplazar el Guest legítimo, el toolkit intenta ejecutar el payload en la máquina del técnico conectante y recuperar sesiones autenticadas (por ejemplo cookies .ASPXAUTH) desde la memoria de procesos o datos de navegador para moverse lateralmente.

Estas técnicas combinan explotación de vulnerabilidad (bloqueable mediante parche) y abuso de funcionalidades legítimas del producto (no resuelto sólo con el parche). El peligro real es que, si un operador legítimo ya tiene una sesión autenticada contra varios entornos de clientes —como suele ocurrir en MSPs—, la herramienta puede convertir el acceso a un endpoint comprometido en una puerta para alcanzar otras redes y equipos gestionados por ese técnico, distribuyendo comandos con privilegios SYSTEM sin necesidad de establecer un método de ejecución por separado en cada máquina.

Quiénes resultan afectados: clientes que usan ConnectWise ScreenConnect/Control (particularmente MSPs y sus partners), las estaciones de trabajo de los técnicos que realizan conexiones remotas y, por extensión, los clientes finales gestionados por esos técnicos. En el caso señalado, Huntress detectó además un defecto de autenticación en la extensión RMM+ (versiones 1.0.31 y 1.0.32) que aceptaba una clave de acceso en blanco si el administrador no la configuraba, permitiendo ejecutar comandos sin pasar por los controles normales de autenticación de ScreenConnect; ConnectWise ha bloqueado temporalmente varias extensiones como medida preventiva.

Qué está confirmado y qué no: está confirmado que Blackpoint analizó el toolkit y que sus pruebas bloquearon la explotación de CVE-2026-84869 en clientes plenamente parcheados; está confirmado que el toolkit contiene módulos para persistencia, para interferir con sesiones Guest y para intentar recuperar sesiones de operador. No está confirmado, en cambio, cuál fue el vector de acceso inicial en los incidentes observados —Blackpoint indica que podría estar relacionado con extensiones maliciosas pero no hay suficiente evidencia forense para establecer "paciente cero"— y, hasta el momento del reporte, no hay evidencia pública de que la campaña haya logrado propagar exitosamente la intrusión a estaciones de trabajo de técnicos ni de que haya vencido el parche del CVE.

Consecuencias prácticas: en un escenario exitoso, un atacante puede obtener persistencia en endpoints gestionados, ejecutar código con privilegios de sistema, y usar sesiones autenticadas de técnicos para propagar malware, robar credenciales de sesión y distribuir cargas útiles (ransomware, miners, exfiltración de datos). Para organizaciones que delegan administración a MSPs esto significa que un incidente en un solo endpoint puede escalar a múltiples entornos de clientes si las sesiones de operación no están protegidas.

Qué deben hacer las organizaciones ahora (medidas concretas y prioritarias): 1) Aplicar parches inmediatamente. Verifique que todos los componentes de ScreenConnect/ConnectWise Control —servidores y clientes— estén actualizados a la versión que corrige CVE-2026-84869; las pruebas de Blackpoint indican que el exploit conocido queda bloqueado tras actualizar. Consulte la información oficial y las guías del proveedor en el Centro de Confianza de ConnectWise: https://www.connectwise.com/company/trust-center.

2) Deshabilitar o revisar extensiones de terceros. Si administra instancias on-premises, desactive las extensiones de terceros que no necesite y audite las que estén instaladas; ConnectWise ha bloqueado algunas extensiones como precaución. Huntress ha comunicado una falla concreta en RMM+ (v1.0.31/1.0.32) que merece atención y mitigación inmediata; consulte también fuentes del proveedor de la extensión o del desarrollador.

3) Detectar e investigar signos de compromiso. Busque indicadores técnicos que Blackpoint ha documentado: registros de ejecuciones de Run Command inusuales, instalaciones MSI con nombres como "sc.msi", presencia de archivos o scripts como "sckit-run.bat", "sckit-decoder.ps1" o "SilentForceInstall-WithUninstall.ps1", comunicaciones salientes hacia dominios sospechosos observados en la investigación, y creación de clientes Access no autorizados. Aísle y preserve evidencias antes de limpiarlas para permitir un análisis forense.

4) Fortalecer protección de sesiones y estaciones técnicas. Implemente autenticación multifactor para cuentas administrativas y, cuando sea posible, controles adicionales para acciones administrativas masivas (revalidación, registros obligatorios). Minimice los privilegios locales en las máquinas de los técnicos y limite su alcance de administración por segmentación de red. Monitorice y restrinja extensiones que almacenan claves compartidas o funcionan fuera del modelo normal de autenticación de ScreenConnect.

5) Preparar respuesta y notificación. Si detecta actividad sospechosa, aisle los endpoints afectados, habilite captura de memoria y registros relevantes, cambie credenciales y tokens que puedan haber sido expuestos, y coordine la respuesta con su proveedor MSP o con proveedores de respuesta ante incidentes. Para recomendaciones de respuesta a incidentes y buenas prácticas de recuperación consulte recursos oficiales como el catálogo de vulnerabilidades explotadas y las guías de CISA: https://www.cisa.gov/known-exploited-vulnerabilities-catalog y https://www.cisa.gov/stopransomware/identify-protect-detect-respond-recover.

Para profundizar, revise los análisis técnicos publicados por los equipos que investigan la campaña (por ejemplo, Blackpoint Cyber y Huntress) y las comunicaciones oficiales de ConnectWise. La evidencia disponible refuerza una conclusión práctica: parchear es imprescindible, pero no suficiente por sí solo mientras los procesos de sesión de operador, las extensiones de terceros y las políticas de privilegios sigan exponiendo vectores de abuso que permiten a un atacante transformar un endpoint comprometido en una rampa hacia otros entornos gestionados. Mantenga inventarios actualizados, controles de acceso estrictos y monitoreo de actividades administrativas como medidas indispensables para reducir este riesgo.