screenconnect

El 12 de noviembre, una empresa que ofrece servicios de administración remota de TI a otras empresas descubrió que en su consola de ScreenConnect habían aparecido varios equipos desconocidos, con nombres de exchanges como KUCOIN-SRV y SRV-BINANCE. Nadie los había instalado, pero figuraban como conectados. Huntress investigó el caso y encontró 2408 sesiones falsas de este tipo en 118 servidores de 109 organizaciones, con más de 1000 nombres distintos.
Las sesiones falsas aparecieron el 3 de noviembre y siguieron activas sin interrupción hasta el 13 de noviembre. El 97,8 % procedía de una misma dirección IP: 74.208.158.106. El operador recorría más de 100 servidores cada 151 segundos. Cada sesión permanecía conectada una media de 64 minutos y, tras desconectarse durante unos 55 minutos, volvía a conectarse. Así conseguía que los equipos siguieran mostrando el indicador verde, como si fueran ordenadores reales; hasta las miniaturas tenían el aspecto de un escritorio de trading.