Campanha explora CVE-2026-84869 em ScreenConnect; SCKit busca escalar privilégios e pivotar

Uma campanha ativa contra a implantação do ConnectWise ScreenConnect (também conhecido como ConnectWise Control) baseia-se na exploração de uma vulnerabilidade já conhecida e corrigida, não numa falha nova. Pesquisadores do Blackpoint Cyber identificaram um kit de ferramentas malicioso (denominado SCKit) que aproveita CVE-2026-84869 (CVSS 9.9), uma falha de gestão de privilégios e autorização faltante que permite execução de arquivos a partir de uma sessão remota ativa sem confirmação do host. De acordo com os testes partilhados pela empresa, a exploração da falha fica bloqueada se o cliente ScreenConnect estiver totalmente adesivo, mas o conjunto de ferramentas inclui técnicas adicionais para aproveitar sessões de operadores já autenticados, o que aumenta o risco, embora o adesivo esteja aplicado.

Em termos comprovados: Blackpoint Cyber recuperou e analisou o toolkit e documentou a cadeia de ataque técnica que segue. O exploit conhecido tenta um “guest-to-host file execution” associado ao CVE-2026-84869; o kit também exibe componentes que instalam clientes de acesso não autorizados com contexto NT AUTHORITY\SYSTEM e uma função chamada RelayTrap projetado para "reverse-pivot": infectar as estações de trabalho dos técnicos que tentem investigar um endpoint comprometido, usando a própria funcionalidade de suporte remoto como vetor de propagação. O ConnectWise reconheceu a investigação e desencadeou de forma preventiva cinco extensões de terceiros em alguns ambientes de parceiros, enquanto continua a indagar.

Tecnicamente, a sequência que Blackpoint descreve é a seguinte: o atacante usa a funcionalidade de Run Command de ScreenConnect para verificar se existe uma instalação do produto, descarga um instalador MSI controlado pelo atacante (identificado na análise como "sc.msi") que executa um dropper em lote ("sckit-run.bat"); este descarrega um decodificador PowerShell ("sckit-decoder.ps1") de um domínio controlado e, a partir daí, exibe vários componentes — incluindo um programa PowerShell para forçar instalações silenciosas e um conjunto de scripts/C# que interferem com sessões Guest. Se você tiver sucesso em substituir o Guest legítimo, o toolkit tenta executar o payload na máquina do técnico conectante e recuperar sessões autenticadas (por exemplo, cookies .ASPXAUTH) desde a memória de processos ou dados de navegador para se mover lateralmente.

Essas técnicas combinam exploração de vulnerabilidade (bloqueável por adesivo) e abuso de funcionalidades legítimas do produto (não resolvido apenas com o adesivo). O perigo real é que, se um operador legítimo já tiver uma sessão autenticada contra vários ambientes de clientes, como acontece frequentemente em MSPs, a ferramenta pode converter o acesso a um endpoint comprometido em uma porta para alcançar outras redes e equipamentos geridos por esse técnico, distribuindo comandos com privilégios SYSTEM sem necessidade de estabelecer um método de execução separado em cada máquina.

Quem são afetados: clientes que usam o ConnectWise ScreenConnect/Control (particularmente MSPs e seus parceiros), as estações de trabalho dos técnicos que realizam conexões remotas e, por extensão, os clientes finais geridos por esses técnicos. No caso assinalado, Huntress detectou ainda um defeito de autenticação na extensão RMM+ (versões 1.0.31 e 1.0.32) que aceitava uma chave de acesso em branco se o administrador não a configurar, permitindo executar comandos sem passar pelos controles normais de autenticação do ScreenConnect; o ConnectWise bloqueou temporariamente várias extensões como medida preventiva.

O que está confirmado e o que não: é confirmado que Blackpoint analisou o toolkit e que seus testes bloquearam a exploração de CVE-2026-84869 em clientes totalmente adesivos; é confirmado que o toolkit contém módulos para persistência, para interferir com sessões Guest e para tentar recuperar sessões de operador. Não está confirmado, em vez disso, qual foi o vetor de acesso inicial nos incidentes observados —Blackpoint indica que poderia estar relacionado com extensões maliciosas, mas não há evidência forense suficiente para estabelecer "paciente zero"— e, até o momento do relatório, Não há nenhuma evidência pública de que a campanha tenha conseguido propagar com sucesso a intrusão a estações de trabalho de técnicos ou de que o adesivo do CVE tenha vencido.

Consequências práticas: em um cenário bem sucedido, um atacante pode obter persistência em endpoints gerenciados, executar código com privilégios de sistema, e usar sessões autenticadas de técnicos para propagar malware, roubar credenciais de sessão e distribuir cargas úteis (ransomware, miners, exfiltração de dados). Para organizações que delegam administração a MSPs isso significa que um incidente em um único endpoint pode escalar múltiplos ambientes de clientes se as sessões de operação não estiverem protegidas.

O que as organizações devem fazer agora (medidas concretas e prioritárias): 1) Aplicar os adesivos imediatamente. Verifique se todos os componentes do ScreenConnect/ConnectWise Control (servidores e clientes) estão atualizados para a versão que corrige CVE-2026-84869; os testes de Blackpoint indicam que o exploit conhecido fica bloqueado após atualização. Consulte a informação oficial e os guias do fornecedor no Centro de Confiança do ConnectWise: https://www.connectwise.com/company/trust-center.

2) Desactivar ou rever extensões de terceiros. Se administrar instâncias on-premises, desactive as extensões de terceiros que não necessitem e audite as que estiverem instaladas; o ConnectWise bloqueou algumas extensões como precaução. Huntress comunicou uma falha concreta no RMM+ (v1.0.31/1.0.32) que merece atenção e mitigação imediata; consulte também fontes do fornecedor da extensão ou do desenvolvedor.

3) Detectar e investigar sinais de compromisso. Procure indicadores técnicos que Blackpoint documenta: registros de execuções de Run Command invulgares, instalações MSI com nomes como "sc.msi", presença de arquivos ou scripts como "sckit-run.bat", "sckit-decoder.ps1" ou "SilentForceInstall-WithUninstall.ps1", comunicações salientes para domínios suspeitos observados na pesquisa, e criação de clientes Access não autorizados. Aísle e preserve evidências antes de as limpar para permitir uma análise forense.

4) Fortalecer proteção de sessões e estações técnicas. Implemente autenticação multifator para contas administrativas e, quando possível, controlos adicionais para acções administrativas em massa (revalidação, registos obrigatórios). Minimice os privilégios locais nas máquinas dos técnicos e limite seu alcance de administração por segmentação de rede. Monitorize e restrinja extensões que armazenam chaves compartilhadas ou funcionam fora do modelo normal de autenticação do ScreenConnect.

5) Preparar resposta e notificação. Se detectar atividade suspeita, isole os endpoints afetados, habilite captura de memória e registros relevantes, mude credenciais e tokens que possam ter sido expostos, e coordene a resposta com seu fornecedor MSP ou com fornecedores de resposta a incidentes. Para recomendações de resposta a incidentes e boas práticas de recuperação consulte recursos oficiais como catálogo de vulnerabilidades exploradas e guias da CISA: https://www.cisa.gov/known-exploited-vulnerabilities-catalog e https://www.cisa.gov/stopransomware/identify-protect-detect-respond-recover.

Para aprofundar, verifique as análises técnicas publicadas pelas equipes que investigam a campanha (por exemplo, Blackpoint Cyber e Huntress) e as comunicações oficiais do ConnectWise. A evidência disponível reforça uma conclusão prática: o sistema transdérmico é imprescindível, mas não suficiente por si só enquanto os processos de sessão de operador, as extensões de terceiros e as políticas de privilégios continuem a expondo vetores de abuso que permitem a um atacante transformar um endpoint comprometido em uma rampa para outros ambientes geridos. Mantenha inventários atualizados, controles de acesso estritos e monitoramento de atividades administrativas como medidas indispensáveis para reduzir esse risco.