Uma campanha de ataques envolvendo o ScreenConnect colocou prestadoras de serviços de TI e seus clientes em alerta. Segundo a Huntress, invasores usaram ambientes comprometidos da ferramenta de acesso remoto para instalar clientes não autorizados em dispositivos gerenciados. A ConnectWise, responsável pela plataforma, confirmou que investiga acessos indevidos a contas de parceiros.
O levantamento inicial da Huntress apontou seis prestadoras comprometidas e mais de 286 dispositivos em 47 organizações. Os números são um retrato do início da investigação, não o tamanho definitivo do incidente. E há um detalhe que merece letras grandes: ainda não foi esclarecido publicamente como o acesso inicial ocorreu.
identificadas na apuração inicial.
afetados em 47 organizações.
acesso inicial ainda não esclarecido.
Quando a ferramenta de suporte vira caminho para o invasor
O ScreenConnect é usado por equipes de TI e prestadoras para administrar máquinas e atender usuários à distância. Para quem cuida de muitos clientes, poder acessar equipamentos sem sair da mesa não é luxo: é parte da rotina. Também significa que uma conta comprometida pode abrir caminho para um conjunto de ambientes muito maior do que uma máquina isolada.
Na campanha investigada, os invasores utilizaram a função de execução de comandos para instalar clientes de acesso remoto não autorizados nos equipamentos administrados. Esses clientes oferecem acesso fora do ambiente legítimo da prestadora. Em português claro: o canal usado para prestar suporte pode ser aproveitado para abrir outro caminho de entrada, controlado por quem não deveria estar ali.
A Huntress afirmou que a atividade parece envolver abuso de recursos legítimos, com ferramentas personalizadas. Isso não equivale à confirmação de uma vulnerabilidade nova no ScreenConnect. A empresa também disse não saber como o primeiro computador foi comprometido. São perguntas fundamentais, e preencher as lacunas com um “zero-day confirmado” seria transformar investigação em ficção.
ConnectWise desativou extensões por precaução
Durante a investigação, a ConnectWise identificou cinco extensões independentes de terceiros que podem estar associadas aos ataques e as desativou preventivamente em aproximadamente 400 ambientes de parceiros. A medida não significa que todos esses ambientes tenham sido invadidos. O número descreve o alcance da ação preventiva, não um balanço de vítimas.
A distinção importa porque incidentes em andamento costumam produzir números com significados diferentes: empresas efetivamente comprometidas, dispositivos afetados, ambientes sob análise e clientes atingidos por uma medida de contenção. Colocar tudo na mesma cesta cria um susto maior, mas informa menos.
O que administradores devem observar
A orientação divulgada pela ConnectWise inclui revisar a atividade das contas, revogar sessões ativas, redefinir credenciais a partir de um dispositivo confiável e verificar a autenticação multifator. A recomendação também é evitar sessões interativas com dispositivos suspeitos e usar ferramentas de segurança separadas para investigá-los.
A Huntress aconselhou verificar o histórico da função Run Command, inclusive quando não houver alerta automático. Isso ajuda a procurar comandos inesperados e instalações de clientes de acesso remoto que não correspondam ao procedimento da equipe. Em um ambiente com vários operadores, vale relacionar os eventos a chamados, técnicos e horários: um comando legítimo deve ter contexto, responsável e motivo.
Outro ponto é revisar quais integrações e extensões estão instaladas, quem as autorizou e quais permissões possuem. A desativação preventiva feita pela fabricante merece acompanhamento, mas não substitui uma investigação local. Empresas com indícios de comprometimento devem preservar registros e seguir seu plano de resposta a incidentes, em vez de simplesmente apagar tudo e torcer para o problema desaparecer.
O risco alcança os clientes
Uma prestadora de serviços gerenciados pode ter acesso a redes, servidores e estações de várias organizações. Por isso, o comprometimento de uma conta de suporte merece uma análise que inclua os dispositivos dos clientes e os acessos concedidos a partir dela. O alcance real depende das permissões existentes e do que a investigação encontrar.
A Huntress também relatou uma possível técnica de propagação envolvendo a estação do técnico durante uma sessão com um equipamento infectado. O mecanismo não foi explicado publicamente em detalhes, portanto não há base para afirmar exatamente como ela funciona. Isso reforça a orientação de tratar dispositivos suspeitos com cautela e acompanhar os comunicados atualizados.
Para clientes, a pergunta útil ao fornecedor é objetiva: houve atividade suspeita no ambiente, quais acessos foram revisados e que medidas foram tomadas? Respostas específicas valem mais do que um comunicado genérico dizendo que “a segurança é prioridade”. Isso toda empresa diz; o que interessa é o que foi verificado.
Acesso remoto resolve problemas, mas também concentra confiança em uma ferramenta com alcance enorme. Quando uma conta é comprometida, não basta olhar apenas para o computador do técnico: é preciso entender onde ela podia chegar e o que executou. O caso merece atenção imediata de quem administra o ScreenConnect, sem espalhar a conclusão de que existe uma falha específica ainda não confirmada. Revisar sessões, permissões e registros é menos cinematográfico que uma tela vermelha piscando — e muito mais útil.
Como a investigação continua, números e orientações podem mudar. Equipes afetadas devem acompanhar os avisos da ConnectWise e da Huntress e confrontar os indicadores divulgados com seus próprios registros antes de concluir o alcance do incidente.
