Atacantes abusan de ScreenConnect para entrar a proveedores de TI gestionada y a decenas de sus clientes
ConnectWise desactivó cinco extensiones de terceros en unos 400 entornos de socios. Huntress contó seis proveedores comprometidos y más de 280 equipos afectados en decenas de organizaciones.
ConnectWise investiga una campaña activa contra proveedores de servicios gestionados (MSP) que usa entornos comprometidos de ScreenConnect para instalar clientes de acceso remoto no autorizados en los equipos de sus clientes, informó BleepingComputer el 11 de noviembre de 2026. Como precaución, la empresa desactivó cinco extensiones de terceros en unos 400 entornos de socios.
La firma Huntress detectó la campaña el miércoles y contaba seis MSP comprometidos y 286 equipos afectados en 47 organizaciones, cifras que seguían subiendo; The Hacker News reportó luego al menos 288 equipos en 48 organizaciones. Los atacantes usan la función Run Command de ScreenConnect para desplegar clientes falsos que les dan acceso fuera del entorno legítimo del proveedor. «Parece un abuso de funciones legítimas, apoyado en herramientas a la medida que en algunos casos se compilan en el momento en la computadora de la víctima», dijo Spike Brandt, de Huntress.
ConnectWise confirmó accesos no autorizados a cuentas de socios y sospecha que el atacante instaló software de acceso remoto mediante extensiones independientes. La compañía advirtió que desactivarlas no elimina el software malicioso ni la persistencia ya instalada, y que los clientes con ScreenConnect en sus propios servidores deben desactivarlas a mano. También recibió reportes, aún por confirmar, de estaciones de técnicos comprometidas durante sesiones interactivas con equipos infectados.
La empresa pidió revisar registros de autenticación, instalaciones de extensiones, actividad administrativa, historial de Run Command y registros de Toolbox, y evitar sesiones interactivas con equipos sospechosos. Huntress añadió que los identificadores secuenciales que usan los atacantes sugieren que otros MSP pudieron ser comprometidos antes, por lo que recomienda revisar el historial aunque no haya alertas.
Fuentes: BleepingComputer: «Active ScreenConnect attacks breach MSPs, impact dozens of organizations», 11 de noviembre de 2026; The Hacker News: «ScreenConnect Attacks Target at Least 288 Endpoints Across 48 Organizations With Rogue Clients», 12 de noviembre de 2026.