screenconnect

11 月 12 日，一家给企业做远程运维的公司发现，自家 ScreenConnect 控制台里多了几台没见过的电脑，叫 KUCOIN-SRV、SRV-BINANCE 这类交易所名，没人装过，却显示在线。Huntress 顺着查下去，在 118 台服务器、109 家机构里数出 2408 个这样的假会话，名字超过 1000 个不重样。
假会话从 11 月 3 日出现到 11 月 13 日，十天没断过。97.8% 来自同一个 IP，74.208.158.106。操作者每 151 秒就把 100 多台服务器轮一遍，单个会话平均在线 64 分钟，断约 55 分钟又接回来，为的就是让它们一直亮绿灯，看起来像台真电脑，连缩略图都是交易桌面的样子。
先说清楚两点。第一，这些假电脑不在币安、库币的服务器上，它们在运维公司的远程软件里，交易所的名字只是伪装。第二，到现在为止，Huntress 没看到假会话干过坏事，没传文件，没跑命令，也没丢钱的报告。只有个别技术员好奇点开了，多数 30 秒不到就退了，只有一人敲了两行字，已按密码可能泄露处理。问题是，对方为什么要费这么大劲，养 2408 台什么都不干的假电脑？
对方图什么。Huntress 的判断是，这些会话是饵，等技术员上钩。ScreenConnect 有个 9 月 8 日公开的严重漏洞 CVE-2026-84869，没打补丁的技术员电脑一旦连上，对方不用确认就能传文件、跑命令，权限还不低，技术员的电脑偏是公司里权限最高的那台。这只是最可能的解释，还没见假会话真的这么干过。沙箱误报也被排除了，沙箱会发密钥和截图，这些不发密钥，截图只用七套图。
对散户来说，直接丢钱的风险还没看到，但这条链离得不远。运维公司管着不少企业的电脑，技术员一台电脑被拿下，后面可能就是一批客户的机器和账号。普通用户不用做啥，交易所的服务器没被碰，你的币也不在这些假电脑上。如果你在公司里管电脑，问一句远程软件是不是最新版，ScreenConnect 要升到 26.6.5 以上；控制台里来路不明的电脑别点，名字带交易所、没有所属公司、版本对不上的，先问一声。
2408 这个数字不重要，重要的是对方十天就干了一件事，让假的看起来像真的。点开之前多问一句，这台电脑是谁的。
你收到过冒充交易所名字的消息或链接吗？
#ScreenConnect #网络安全 #防骗 #交易所
—— web3韭菜小凯
本内容仅为个人观点分享，不构成投资建议，请自行判断。