11 de noviembre de 2026, 17:47 UTC. En menos de 90 minutos, un atacante comprometió 288 equipos de 48 organizaciones usando la propia herramienta de soporte remoto en la que esas empresas confían. No necesitó un exploit de día cero: se coló por una extensión de terceros de ScreenConnect y convirtió el panel de gestión de varios MSP en una plataforma de distribución de malware. El 13 de noviembre llegó una segunda oleada: 205 equipos más en 41 organizaciones.
La herramienta se llama SCKit, y es la campaña más instructiva del año sobre lo que pasa cuando la cadena de confianza de la gestión remota se rompe por el eslabón más débil.
Qué ha pasado
Huntress observó cómo un operador utilizaba paneles de ScreenConnect en la nube —de proveedores de servicios gestionados (MSP)— para lanzar comandos masivos con la función Run Command. Esos comandos se ejecutaban como SYSTEM en los equipos gestionados e instalaban un cliente de ScreenConnect controlado por el atacante y el kit SCKit. Un tercio de los 288 equipos cayó en los primeros 10 minutos.
La puerta de entrada: una extensión con la llave en blanco
El vector de acceso inicial no está confirmado al 100 % por ConnectWise, pero la evidencia apunta con fuerza a RMM+, una extensión de terceros que permite a otras herramientas gestionar sesiones de ScreenConnect sin pasar por la consola del técnico. Las versiones 1.0.31 y 1.0.32 de RMM+ tenían un fallo grave: si el administrador nunca había configurado la clave de acceso de la extensión, esta aceptaba una clave en blanco. RMM+ no usa las cuentas, roles ni el MFA de ScreenConnect: autentica con una clave compartida propia. Los registros encajan: comandos en varias instancias en minutos, sin inicios de sesión.
ConnectWise reaccionó la noche del 11 de noviembre (22:45 UTC) desactivando cinco extensiones de terceros en más de 400 entornos de partners. Y el detalle clave: los paneles afectados corrían las versiones más recientes de ScreenConnect (26.6.6.9747 y 26.7.6.9783). Estar al día no bastó, porque la vulnerabilidad no estaba en el servidor, sino en el ecosistema de extensiones que lo rodea.
Dentro de SCKit: una trampa para técnicos
SCKit es un paquete de 16 archivos —scripts de PowerShell, lotes, .cmd y configuración— que se instala así: el comando inicial descarga un instalador de ScreenConnect controlado por el atacante y el cliente falso sustituye al legítimo. El kit se extrae en C:\ProgramData\RelayTrap, crea la tarea programada TrapWatch (SYSTEM, cada 10 segundos), el valor RelayTrapLiteAlert en la clave Run de Windows y, en la segunda oleada, un servicio llamado Windows Update Agent que se hace pasar por un componente legítimo. El paquete viaja cifrado y la clave se deriva del UUID del equipo: cada víctima recibe un kit único.
Pero el componente más inquietante es RelayTrap: cuando un técnico se conecta a un equipo infectado, intenta reemplazar el proceso Guest legítimo y enviar un archivo malicioso en sentido contrario al habitual: del equipo del cliente al puesto del técnico. La técnica intenta explotar CVE-2026-84869, una vulnerabilidad crítica de transferencia de archivos en el cliente de ScreenConnect (CVSS 9.9) que ConnectWise parcheó en la versión 26.6.5, publicada el 8 de septiembre de 2026.
Conviene ser preciso: ni Huntress ni Blackpoint Cyber han observado que este salto funcione en la campaña real. El intento de toma de consola falló en todos los registros revisados por Huntress, y Blackpoint reprodujo el exploit contra un cliente actual y confirmó que el parche lo bloquea. Lo que sí está en el código es la intención completa: una vez en el puesto del técnico, SCKit roba la cookie de sesión .aspxauth del navegador, la reproduce contra el panel y sube un payload a la Shared Toolbox, que se ejecuta como SYSTEM en todos los equipos alcanzables. Sesenta segundos después, borra el elemento para cubrir sus huellas.
Por qué es grave
Tres lecciones. Primera, la herramienta de gestión es el objetivo: comprometer un panel de MSP equivale a comprometer a todos sus clientes a la vez, abusando de funciones legítimas, sin phishing ni día cero. Segunda, el MFA no protege lo que no pasa por él: RMM+ sorteaba cuentas, roles y MFA con su propia autenticación. Cualquier integración de terceros es un perímetro paralelo que hay que inventariar y auditar.
Qué hacer ahora
- Revisa tu entorno aunque no hayas recibido ninguna alerta. Busca actividad masiva inesperada en Run Command y Toolbox, y un segundo cliente no autorizado.
- Desactiva las extensiones afectadas (RMM+, RMM Plus, Labtech Plus y las variantes Password Link) y verifica que los clientes de técnico corren ScreenConnect 26.6.5 o superior (la versión que corrige CVE-2026-84869).
- No te conectes por ScreenConnect a un equipo sospechoso. Una sesión interactiva podría activar la trampa: usa WinRM u otra herramienta fuera de banda. Si un técnico ya se conectó a un equipo infectado, trata su puesto como potencialmente expuesto.
- Limpieza completa antes de devolver el equipo al servicio. Elimina el cliente fantasma, la tarea TrapWatch, la carpeta C:\ProgramData\RelayTrap, los archivos sckit-* en %TEMP% y el valor RelayTrapLiteAlert en la clave Run. Mantén el equipo aislado hasta completar la limpieza.
- Revoca lo expuesto y audita el panel. Termina las sesiones web activas, rota las credenciales afectadas y revoca también las sesiones de navegador y del proveedor de identidad, porque el kit puede robar tokens de sesión. Revisa el historial de Run Command y Toolbox y los logs de auditoría para determinar qué sistemas y puestos de técnico pueden estar afectados.
Qué vigilaría un SOC
Los IOCs de Huntress, convertidos en reglas. En red: las IPs 185.99.255[.]28 y 185.241.211[.]197, y los dominios sc.payproofkit[.]com, newnewnew.gotdns[.]org, soxnewwork.homedns[.]org, cdn007-digitaldownloads[.]com y ns.mo7sen[.]dev (stager en /EadF.php). En endpoint: la carpeta C:\ProgramData\RelayTrap, la tarea TrapWatch, el servicio Windows Update Agent, archivos sckit-* en %TEMP% y msiexec.exe descargando instaladores MSI con el patrón &c=Exploited<N>. Y una regla de oro: toda ejecución masiva de Run Command sin inicio de sesión de técnico asociado es sospechosa por definición.
La lección
SCKit no es el gusano perfecto: su salto de equipo infectado a técnico no ha funcionado contra clientes parcheados. Pero tampoco lo necesita para hacer daño: con una extensión olvidada y una clave en blanco, un atacante convirtió la herramienta de confianza de decenas de MSP en una red de distribución de malware en 90 minutos. La defensa no está solo en parchear el servidor: está en inventariar cada extensión, cada integración y cada atajo de autenticación que cuelga de tu herramienta de gestión remota.
Fuentes
- Huntress — «SCKit Worm Installs Rogue ScreenConnect Clients and Session Cookie Relays Across Hundreds of Endpoints» (actualizado 13/11/2026): https://www.huntress.com/blog/sckit-worm-rogue-screenconnect
- BleepingComputer — «New worm-like ‘SCKit’ malware targets MSPs in ScreenConnect attacks» (12/11/2026): https://www.bleepingcomputer.com/news/security/new-worm-like-sckit-malware-targets-msps-in-screenconnect-attacks/
- Blackpoint Cyber — «ScreenConnect Attack: SCKit Turns Remote Support Into an Attack Platform» (actualizado 13/11/2026): https://blackpointcyber.com/blog/screenconnect-attack-sckit/