Seguridad12 nov 2026, 16:17 UTC·2 min de lectura

ScreenConnect: fallo en el plugin RMM+ infecta 288 equipos

Unos atacantes usaron una extensión de terceros de ScreenConnect para instalar malware en 288 equipos en 90 minutos. ConnectWise desactivó cinco plugins.

An IT technician's workstation showing a remote support console with a red security warning over a list of infected computers. — Imagen: theregister

Unos atacantes han usado una extensión de terceros de ScreenConnect, la herramienta de asistencia remota, para instalar malware en al menos 288 equipos de 48 organizaciones. Casi todo ocurrió en 90 minutos. ConnectWise, propietaria de ScreenConnect, ha desactivado ya varios plugins en cientos de entornos de clientes.

La empresa de seguridad Huntress dio la alerta el miércoles en una publicación de Reddit. Detectó los ataques hacia las 17:47 UTC, cuando alguien empezó a usar la función de comandos remotos de ScreenConnect para instalar clientes no autorizados en equipos gestionados por varios proveedores de servicios de TI (MSP). Alrededor de un tercio cayó en los primeros diez minutos. Huntress sospecha que hay más víctimas: los atacantes parecían numerar sus objetivos de forma secuencial, y los números apuntan a ataques anteriores que no vio.

¿Cuál es el fallo del plugin RMM+ de ScreenConnect?

Huntress rastreó la actividad hasta RMM+, una extensión que permite a otras herramientas de gestión enviar comandos a través de ScreenConnect sin que el técnico use su consola. Las versiones 1.0.31 y 1.0.32 tienen un fallo: si no hay una clave de acceso configurada, aceptan una en blanco. Como RMM+ funciona al margen de las cuentas y la autenticación habituales de ScreenConnect, un atacante podría ejecutar comandos sin superar la autenticación multifactor. Huntress vio comandos llegar sin actividad de inicio de sesión asociada.

También se vieron afectadas las versiones 26.6.6.9747 y 26.7.6.9783 de ScreenConnect, así que tener la última no garantizaba nada.

El malware, llamado SCKit, tiene 16 archivos. Instala un segundo cliente de ScreenConnect para mantener el acceso aunque se corte la conexión legítima. Además intenta tender una trampa al técnico: si se conecta para investigar, trata de pasar malware a su estación de trabajo y robar cookies de autenticación. Según Huntress, eso no ha funcionado hasta ahora. La firma cree que un modelo de lenguaje ayudó a escribir parte del código, por unos comentarios inusualmente detallados.

¿Qué deben hacer los administradores?

ConnectWise identificó unas 400 instalaciones con al menos una extensión de la familia RMM+, lo que no significa que estén comprometidas. Desactivó cinco extensiones, entre ellas RMM+, RMM Plus y Labtech Plus, donde pudo hacerlo en remoto, y pide a quienes alojan su propio servidor que hagan lo mismo. Asegura que no hay indicios de compromiso de su infraestructura ni de una vulnerabilidad en ScreenConnect.

Ambas empresas desaconsejan investigar mediante ScreenConnect. Conviene usar otras herramientas de seguridad, buscar clientes no autorizados, revisar los comandos ejecutados y eliminar el malware antes de reconectar los equipos. Huntress vio máquinas reinfectadas a los pocos minutos de salir del aislamiento. ConnectWise advierte de que desactivar extensiones y restablecer credenciales puede no bastar.