screenconnect

Ngày 12 tháng 11, một công ty cung cấp dịch vụ vận hành từ xa cho doanh nghiệp phát hiện có thêm vài máy tính lạ trong bảng điều khiển ScreenConnect của mình, mang những cái tên sàn giao dịch như KUCOIN-SRV, SRV-BINANCE. Không ai cài đặt chúng, nhưng chúng lại hiển thị là đang trực tuyến. Huntress điều tra sâu hơn và phát hiện 2.408 phiên giả như vậy trên 118 máy chủ thuộc 109 tổ chức, với hơn 1.000 tên khác nhau.
Các phiên giả xuất hiện liên tục suốt mười ngày, từ ngày 3 đến ngày 13 tháng 11. 97,8% trong số đó đến từ cùng một địa chỉ IP: 74.208.158.106. Cứ mỗi 151 giây, kẻ vận hành lại luân phiên qua hơn 100 máy chủ. Mỗi phiên trực tuyến trung bình 64 phút, ngắt khoảng 55 phút rồi kết nối lại. Mục đích là giữ cho chúng luôn sáng đèn xanh, trông như máy tính thật; ngay cả hình thu nhỏ cũng giống màn hình giao dịch.