ScreenConnect diventa un canale di propagazione tra host
Huntress ha osservato client ScreenConnect anomali che, in più ambienti e su host non correlati, avviano in sequenza più VBScript tramite Windows Script Host. Il quadro non assomiglia a una compromissione isolata di una singola macchina: indica che il client RMM può diventare il punto di partenza di una propagazione automatizzata dentro la stessa flotta.
Il comportamento passa dal canale di file-transfer di ScreenConnect, che porta i file verso l’host e li fa eseguire come se arrivassero da una sessione di supporto attendibile. Il risultato è una lateral spread che il normale contenimento sull’endpoint iniziale può mancare, perché il client legittimo spawna processi come wscript.exe e rilancia script su altri sistemi coinvolti.
ConnectWise ha riconosciuto un problema nel file-transfer behavior di ScreenConnect Remote Access Support e Access, con advisory e fix ufficiale attesi entro la settimana. Per chi usa RMM su più endpoint, la lettura corretta è che il canale amministrativo fidato può trasformarsi nel meccanismo di distribuzione dell’attività malevola, anche quando il singolo host iniziale è già stato isolato.