screenconnect

Le 12 novembre, une entreprise spécialisée dans la maintenance informatique à distance pour les sociétés a découvert plusieurs ordinateurs inconnus dans sa console ScreenConnect. Ils portaient des noms d’exchanges comme KUCOIN-SRV et SRV-BINANCE. Personne ne les avait installés, mais ils apparaissaient en ligne. En poursuivant son enquête, Huntress a recensé 2 408 fausses sessions de ce type sur 118 serveurs répartis dans 109 organisations, avec plus de 1 000 noms différents.
Les fausses sessions sont apparues le 3 novembre et ont persisté sans interruption jusqu’au 13 novembre. 97,8 % provenaient de la même adresse IP : 74.208.158.106. Toutes les 151 secondes, l’opérateur faisait défiler plus de 100 serveurs. Chaque session restait en ligne 64 minutes en moyenne, puis se déconnectait pendant environ 55 minutes avant de se reconnecter. Le but était de les maintenir au vert pour qu’elles ressemblent à de vrais ordinateurs ; même leurs miniatures affichaient des bureaux de trading.