screenconnect

Am 12. November bemerkte ein Unternehmen, das für andere Firmen den IT-Fernsupport übernimmt, mehrere unbekannte Computer in seiner ScreenConnect-Konsole. Sie trugen Namen von Kryptobörsen wie KUCOIN-SRV und SRV-BINANCE. Niemand hatte sie installiert, doch sie wurden als online angezeigt. Huntress ging der Sache nach und zählte 2.408 solcher gefälschten Sitzungen auf 118 Servern bei 109 Organisationen. Die Namen waren in mehr als 1.000 Varianten vorhanden.
Die gefälschten Sitzungen tauchten vom 3. bis zum 13. November auf – zehn Tage lang ohne Unterbrechung. 97,8 % stammten von derselben IP-Adresse: 74.208.158.106. Der Betreiber ging alle 151 Sekunden mehr als 100 Server durch. Eine einzelne Sitzung war durchschnittlich 64 Minuten online, wurde für etwa 55 Minuten getrennt und dann wieder verbunden. So sollten die Sitzungen dauerhaft als aktiv angezeigt werden und wie echte Computer wirken – sogar die Vorschaubilder zeigten einen Handelsdesktop.