screenconnect

11月12日、企業向けにリモート運用保守を提供する会社が、自社のScreenConnectコンソールに見覚えのないコンピューターが何台か追加されていることに気づいた。KUCOIN-SRVやSRV-BINANCEといった取引所名が付いており、誰もインストールしていないのにオンラインと表示されていた。Huntressが調査を進めたところ、118台のサーバーと109の組織で、こうした偽のセッションが2408件見つかった。名前の種類は1000以上にのぼった。
偽のセッションは11月3日から11月13日まで、10日間途切れることなく現れた。その97.8%は同じIPアドレス、74.208.158.106からだった。操作者は151秒ごとに100台以上のサーバーを一巡し、各セッションは平均64分間オンライン状態を保った。約55分後に切断して再接続し、緑色のオンライン表示を維持して、本物のコンピューターに見せかけていた。サムネイルまで取引画面のようだった。