El pivote inverso de SCKit en ScreenConnect: Riesgo de ejecución cruzada para proveedores MSP
Análisis técnico del kit de malware SCKit, la explotación de CVE-2026-84869 y el módulo RelayTrap diseñado para comprometer estaciones de trabajo de soporte técnico.
Fecha de publicación: 2026.11.13
Visitar Sitio OficialGestión indebida de privilegios en CVE-2026-84869
Inclusión prioritaria en el catálogo CISA KEV
Ejecución desatendida mediante agentes legítimos
El ecosistema de soporte remoto para proveedores de servicios gestionados (MSP) afronta un vector de compromiso bidireccional. La firma Blackpoint Cyber ha identificado el conjunto de herramientas SCKit, diseñado para instrumentalizar sesiones activas de ConnectWise ScreenConnect. El artefacto explota la vulnerabilidad CVE-2026-84869 para transferir y ejecutar cargas maliciosas desde terminales comprometidos hacia las estaciones de trabajo de los ingenieros de soporte.
Esta técnica invierte el modelo tradicional de intrusión. El atacante no necesita vulnerar individualmente cada red corporativa cliente. En su lugar, espera a que el personal técnico inicie una sesión de diagnóstico en un endpoint infectado para ejecutar un movimiento lateral inverso mediante el componente RelayTrap.
Cadena de ejecución desde el endpoint comprometido hacia el operador MSP
Despliegue de sc.msi y sckit-run.bat en el endpoint gestionado.
Conexión a ns.mo7sen.dev para obtener el script sckit-decoder.ps1.
Instalación forzada de dos clientes no autorizados de ScreenConnect Access.
Sustitución del proceso Guest para inyectar código en la consola del técnico.
Extracción de cookies .ASPXAUTH para controlar la totalidad del parque cliente.
Arquitectura de ejecución de SCKit y mecánica del módulo RelayTrap
La intrusión comienza con la verificación de la presencia del software de soporte en el endpoint objetivo. Si el sistema valida el entorno, el atacante descarga un instalador MSI denominado sc.msi. Este ejecutable deposita el script por lotes sckit-run.bat, responsable de establecer contacto con el dominio de comando y control ns.mo7sen[.]dev.
El servidor externo suministra un decodificador PowerShell (sckit-decoder.ps1). A través de este componente, la cadena maliciosa despliega el archivo SilentForceInstall-WithUninstall.ps1. Este script registra dos clientes independientes de ScreenConnect Access en segundo plano. De este modo, los operadores de la amenaza garantizan persistencia paralela e inadvertida respecto a las consolas legítimas del cliente.
Estructura de la trampa desplegada contra analistas de soporte
El malware monitoriza la llegada de sesiones entrantes de diagnóstico técnico.
Envío inverso de archivos hacia el equipo del operador sin confirmación de host.
Extracción de tokens .ASPXAUTH de navegadores para emisión de comandos globales.
El núcleo diferencial de SCKit reside en el módulo RelayTrap. Esta librería en C# intercepta las sesiones legítimas de ScreenConnect Guest. Cuando un técnico de soporte abre una conexión para investigar alertas operativas, RelayTrap suplanta la biblioteca del cliente invitado. A continuación, dispara la transferencia del archivo malicioso hacia la estación del técnico mediante la brecha de autorización de CVE-2026-84869, ejecutando código bajo el contexto del operador remoto.
Una vez que el código opera en el equipo del analista, SCKit rastrea los procesos locales y el almacenamiento de navegadores web. El objetivo principal consiste en recuperar cookies de sesión .ASPXAUTH. Con estas credenciales temporales, el adversario interactúa directamente con la consola de administración de ScreenConnect para diseminar tareas en lote bajo el contexto NT AUTHORITY\SYSTEM en el resto de los clientes del MSP.
Matriz técnica de exposición: Vulnerabilidad vs. Abuso de sesión válida
El análisis de laboratorio de Blackpoint Cyber confirma que el parche oficial distribuido para CVE-2026-84869 detiene con éxito la transferencia arbitraria de archivos. Sin embargo, la remediación a nivel de software no invalida las capacidades de manipulación si el atacante ya ha capturado una sesión autenticada.
| Vector evaluado | Implementación sin parchear | Entorno con parche oficial | Entorno con aislamiento de privilegios |
|---|---|---|---|
| Transferencia huésped a host | Ejecución directa no autorizada | Bloqueada por validación de firma | Bloqueada por políticas de integridad de código |
| Contexto de ejecución local | NT AUTHORITY\SYSTEM | Depende del usuario del técnico | Usuario restringido sin privilegios elevados |
| Persistencia de agentes | Dos instancias ocultas de Access | Bloqueo en registro de servicios | Lista blanca de identificadores de instancia |
| Robo de cookies .ASPXAUTH | Acceso libre a memoria de proceso | Posible si el endpoint cae | Cifrado DPAPI y enlace a IP de origen |
| C2 remoto (ns.mo7sen[.]dev) | Tráfico HTTP/HTTPS sin filtrar | Tráfico permitido por omisión | Denegación por filtrado DNS corporativo |
La vulnerabilidad CVE-2026-84869 registró una calificación de 9.9 en la escala CVSS debido a la falta de mecanismos de autorización previa antes de la ejecución de comandos en remoto. Históricamente, actores de amenazas utilizaron esta debilidad para distribuir secuencias VBScript de cuatro etapas destinadas a instalar mineros XMRig. Con SCKit, el incentivo económico ha cambiado: el objetivo es la cadena de suministro corporativa.
Diferencia de impacto entre la vulnerabilidad del binario y el compromiso de credenciales
- • Transferencia de archivos sin autorización previa
- • Inyección directa desde el cliente Guest
- • Resuelto íntegramente mediante el parche del fabricante
- • Robo de cookies .ASPXAUTH en memoria del operador
- • Uso de la función legítima Run Command
- • Indiferente al estado de actualización del cliente
ConnectWise aplicó medidas cautelares adicionales, como la desactivación temporal de cinco extensiones de terceros en entornos de partners. Aunque las auditorías forenses no vinculan técnicamente esas extensiones con el código de SCKit, la decisión refleja la fragilidad de los ecosistemas modulares donde los complementos heredan privilegios globales de administración.
Impacto en la cadena de suministro de MSP y costes de fricción operativa
El diseño de SCKit impone un desafío estructural a los modelos operativos de soporte externalizado. Un único técnico asignado al mantenimiento de cincuenta cuentas corporativas puede convertirse en el punto único de fallo para toda la cartera de clientes.
Distribución del impacto financiero tras la detección de pivote inverso
El modelo de soporte centralizado ofrece eficiencias de coste evidentes, pero incrementa el riesgo de concentración. Cuando los técnicos abren sesiones concurrentes en múltiples clientes desde una misma estación de trabajo, una brecha en un endpoint secundario puede propagarse a clientes de sectores regulados en minutos.
Las herramientas de acceso remoto administradas deben ser tratadas como infraestructuras de nivel crítico 0. La ejecución de scripts remotos bajo cuentas del sistema sin confirmación de doble factor representa una deuda técnica inaceptable para los proveedores MSP.
Las organizaciones que dependen de servicios gestionados deben exigir auditorías directas sobre los controles de acceso del proveedor. La contención de SCKit exige que la autenticación de la consola no dependa exclusivamente de una cookie de navegador de larga duración.
Evaluación de cumplimiento frente al estándar de contención de sesiones
Protocolo de respuesta inmediata y endurecimiento de consolas de soporte
La mitigación de esta amenaza exige una estrategia dividida entre la aplicación de parches de software y la restricción operativa de las consolas de ingeniería. La simple actualización del binario no protege contra instancias persistentes ya implantadas.
Secuencia de contención técnica en cuatro fases obligatorias
Cortar el tráfico hacia ns.mo7sen.dev y aislar endpoints sospechosos.
Desinstalar clientes ScreenConnect Access duplicados o no catalogados.
Forzar el cierre de todas las sesiones web activas y rotar certificados.
Aplicar la actualización para CVE-2026-84869 en la totalidad del parque.
Medidas obligatorias para proveedores de servicios gestionados
- Actualización inmediata de agentes: Desplegar el parche para CVE-2026-84869 en todos los servidores centrales y clientes administrados sin excepción de entorno.
- Inspección de servicios locales: Auditar los servicios de Windows en busca de instancias no autorizadas de ScreenConnect Access que utilicen identificadores de instancia (
InstanceID) no registrados en el portal corporativo. - Aislamiento de terminales de soporte: Prohibir que los técnicos accedan a consolas de administración desde estaciones de trabajo convencionales; es imperativo utilizar entornos virtuales dedicados (Privileged Access Workstations) con navegación restringida.
- Filtrado estricto de red y DNS: Incorporar bloqueos a nivel perimetral para el dominio
ns.mo7sen[.]devy restringir las conexiones salientes de PowerShell hacia direcciones IP públicas desconocidas.
Requisitos de auditoría para empresas cliente de MSP
- Exigencia de autenticación vinculada a hardware: Validar contractualmente que el proveedor MSP utilice llaves de seguridad FIDO2 para autorizar el acceso de sus operadores a los paneles de control.
- Restricción de comandos desatendidos: Desactivar la funcionalidad
Run Commanden endpoints que procesen datos altamente sensibles, exigiendo interacción local asistida para intervenciones críticas. - Segmentación de inquilinos: Comprobar que los agentes de soporte técnico no compartan credenciales maestras entre diferentes organizaciones clientes dentro de la misma plataforma multitenant.