screenconnect

Em 12 de novembro, uma empresa que presta serviços de administração remota para outras empresas percebeu que havia vários computadores desconhecidos no console do ScreenConnect, com nomes de corretoras como KUCOIN-SRV e SRV-BINANCE. Ninguém os havia instalado, mas apareciam como estando online. Ao investigar, a Huntress identificou 2408 dessas sessões falsas em 118 servidores de 109 organizações, com mais de 1000 nomes diferentes.
As sessões falsas começaram a aparecer em 3 de novembro e continuaram até 13 de novembro, sem interrupção por dez dias. 97.8% vinham do mesmo IP: 74.208.158.106. A cada 151 segundos, o operador percorria mais de 100 servidores. Cada sessão ficava online por uma média de 64 minutos, desconectava por cerca de 55 minutos e depois voltava, para que continuassem sempre com a luz verde acesa e parecessem computadores de verdade — até as miniaturas mostravam telas de negociação.