screenconnect

12 ноября компания, занимающаяся удалённым администрированием ИТ-систем для бизнеса, обнаружила в консоли ScreenConnect несколько незнакомых компьютеров с названиями криптобирж — KUCOIN-SRV, SRV-BINANCE и другими. Их никто не устанавливал, но они отображались как подключённые. Продолжив расследование, Huntress насчитала 2408 таких поддельных сеансов на 118 серверах в 109 организациях. Всего было использовано более 1000 разных названий.
Поддельные сеансы появлялись с 3 по 13 ноября — без перерыва в течение десяти дней. 97,8% из них приходилось на один и тот же IP-адрес: 74.208.158.106. Оператор обходил более 100 серверов каждые 151 секунду. Каждый сеанс в среднем оставался онлайн 64 минуты, затем отключался примерно на 55 минут и подключался снова. Так они постоянно горели зелёным, создавая впечатление настоящих компьютеров; даже миниатюры выглядели как рабочие столы торговых терминалов.