ConnectWise confirma accesos indebidos a ScreenConnect usados contra clientes de proveedores de TI

ConnectWise ha confirmado accesos no autorizados a cuentas de socios de ScreenConnect, su plataforma de soporte remoto, y la instalación de programas de acceso remoto no autorizados en entornos de sus clientes, según el aviso de seguridad de la empresa que recoge BleepingComputer.

La campaña la detectó el miércoles la empresa de seguridad Huntress, que dice haber identificado seis proveedores de servicios gestionados comprometidos y 286 equipos afectados en 47 organizaciones, y que la cifra sigue creciendo. Según Huntress, los atacantes usan la función de ejecución de comandos de ScreenConnect para instalar clientes remotos ajenos al proveedor legítimo; la actividad empezó hacia las 17:47 UTC.

Como precaución, ConnectWise ha desactivado cinco extensiones de terceros en unos 400 entornos de socios, porque sospecha que el atacante las usó para desplegar el software de acceso remoto, según BleepingComputer.

Un responsable de Huntress dijo a ese medio que parece un abuso de funciones legítimas y no la explotación de una vulnerabilidad, y que no se sabe cómo se originó el primer equipo infectado. No se ha atribuido la campaña a ningún actor.

Noticia en estudio: falta abrir directamente el aviso de ConnectWise y la información de Huntress; las cifras de víctimas son provisionales y, según Huntress, siguen aumentando.