Una nuova campagna scoperta a settembre 2026 mostra come un normale strumento di assistenza remota possa trasformarsi in un veicolo di infezione. In alcuni incidenti osservati ad agosto, client malevoli di ConnectWise ScreenConnect hanno distribuito automaticamente una catena di script a ogni nuovo sistema collegato, creando un comportamento simile a un worm.
Per un’azienda questo conta perché l’attacco non parte da una vulnerabilità “esotica”, ma da strumenti e situazioni molto comuni: supporto remoto, phishing, finti rimborsi e installazioni MSI. In pratica, anche un PC usato per assistenza o telelavoro può diventare il punto da cui il problema si propaga ad altri dispositivi.
Che cosa è successo
Secondo quanto riportato da Huntress e ripreso il 7 settembre 2026 da The Hacker News, gli analisti hanno individuato tre incidenti distinti ma accomunati dallo stesso schema operativo: l’installazione di un client ScreenConnect non autorizzato che, una volta attivo, lancia ripetutamente wscript.exe per eseguire quattro file VBScript chiamati 1.vbs, 2.vbs, 3.vbs e 4.vbs.
Gli episodi osservati risalgono ad agosto 2026 e mostrano modalità di accesso iniziale diverse:
- una truffa di finto supporto tecnico che convince l’utente ad aprire Quick Assist;
- un installer MSI distribuito via phishing;
- un’esca collegata a un falso modulo di rimborso Geek Squad.
Il punto importante è che gli aggressori non sembrano dipendere da un solo trucco. Cambia il modo in cui entrano, ma il comportamento successivo resta coerente: installano un client di accesso remoto alterato e usano quello come piattaforma di distribuzione del malware.
Perché il caso è diverso dal solito
Molti attacchi remoti mirano a prendere il controllo di un singolo computer. Qui, invece, il client compromesso di ScreenConnect viene usato anche per infettare sistemi che si collegano in seguito. È questo l’aspetto più insidioso: il software di controllo remoto, nato per amministrare o assistere i PC, diventa un canale di propagazione.
Huntress descrive infatti un comportamento “worm-like”, cioè simile a quello di un worm. In termini pratici, quando un host si connette a un client infetto, può ricevere ed eseguire la stessa catena di quattro script. Il client registra gli identificativi di connessione per non colpire continuamente la stessa sessione attiva, ma li rimuove dopo la disconnessione, rendendo possibile una nuova infezione alla successiva riconnessione.
Per una PMI è un dettaglio tutt’altro che teorico: se usate strumenti RMM o accesso remoto per supportare dipendenti, filiali o postazioni esterne, un singolo endpoint compromesso può amplificare l’impatto.
Come funziona la catena in quattro fasi
La sequenza osservata è composta da quattro script, ognuno con un compito preciso.
Il primo script, 1.vbs, fa ricognizione sul sistema: controlla le risorse della macchina, verifica se la RAM supera i 5 GB, cerca installazioni di ScreenConnect e rileva la presenza di vari prodotti di sicurezza, tra cui Cisco AMP, CrowdStrike, Huntress, Malwarebytes, SentinelOne, Sophos e Symantec Endpoint Protection. Il risultato viene salvato in %TEMP%\value.txt sotto forma di uno stato a tre bit.
Il secondo script, 2.vbs, attende la comparsa di quel file, verifica se contiene la parola abort e, se non la trova, scarica un contenuto da Dropbox, lo decodifica e lo scrive in %TEMP%\map.txt. Il contenuto esatto non era più verificabile perché l’URL Dropbox non risultava online al 2 settembre 2026.
Il terzo script, 3.vbs, usa le informazioni salvate in value.txt per decidere quale file scaricare dal link indicato in map.txt, e lo salva in %TEMP%\out.enc.
Il quarto script, 4.vbs, attende la presenza di out.enc, richiama uno script PowerShell (%TEMP%\runner.ps1) per decifrare il payload, lo scrive in un percorso sotto %APPDATA% e avvia un secondo script PowerShell chiamato PyTorchFix.ps1.
A quel punto il comportamento cambia in base allo stato rilevato all’inizio. Sono stati osservati almeno tre esiti differenti:
- gli stati
000e001portano a una backdoor ScreenConnect a livello utente; - lo stato
010porta a strumenti per elevazione dei privilegi tramite bypass del controllo UAC e meccanismi di persistenza; - lo stato
011porta a utility di tunneling e a un miner di criptovaluta.
Inoltre, nel ramo 011 il malware include azioni per ridurre la visibilità delle difese: secondo la fonte, disabilita il reporting di Microsoft Defender, spegne la funzione di memory integrity di Windows ed esegue XMRig.
I segnali da non sottovalutare
Questa campagna è significativa non solo per la tecnica usata, ma per gli indicatori operativi che lascia dietro di sé. Tra quelli evidenziati nelle analisi ci sono:
- esecuzioni ripetute di
wscript.exeocscript.exe; - presenza dei file
1.vbs,2.vbs,3.vbs,4.vbsnella cartella temporanea; - file come
value.txt,map.txt,out.encerunner.ps1in%TEMP%; - una chiave Run denominata
WindowsServiceHostche punta aWindowsServiceHost.vbsnell’AppData dell’utente; - copie degli script in
C:\Users\Public\Libraries\Default\Lib\Lib1in alcuni scenari.
Huntress segnala inoltre che su alcuni sistemi colpiti erano presenti anche altri strumenti RMM, come UltraViewer. Questo non significa che tali software siano di per sé malevoli, ma ricorda un concetto fondamentale: i criminali cercano spesso di mimetizzarsi dentro strumenti amministrativi legittimi, perché passano più facilmente inosservati.
Il vero rischio per le aziende: fidarsi troppo degli strumenti leciti
Quando un attacco sfrutta un software noto e diffuso, molte organizzazioni abbassano la guardia. Se il nome del processo o del programma ricorda un tool di assistenza remota usato davvero in azienda, utenti e talvolta anche controlli interni potrebbero considerarlo “normale”.
È proprio qui che le PMI sono più esposte. Nelle realtà con poche persone IT, o con supporto esterno non centralizzato, capita spesso di avere più strumenti di accesso remoto installati nel tempo, policy non uniformi e autorizzazioni locali troppo ampie. Questo crea il contesto ideale per un abuso di questo tipo.
Il problema, quindi, non è solo ScreenConnect. Il problema è la governance degli accessi remoti, dei software installabili e dei privilegi sugli endpoint.
Cosa significa per la tua azienda
Se nella tua organizzazione usi strumenti di assistenza remota, questa notizia richiede un controllo operativo immediato, non solo attenzione teorica.
Primo: fai un inventario reale dei software remoti installati. Devi sapere con precisione quali strumenti sono autorizzati, su quali PC, con quali account e con quali finalità. Se trovi client remoti non standard, doppioni o installazioni fuori processo, vanno verificati subito. In questo ambito può essere utile centralizzare la gestione delle postazioni con un servizio di desktop IT management.
Secondo: limita l’installazione di client remoti e script. Un utente normale non dovrebbe poter installare liberamente software di controllo remoto o lanciare file script ricevuti via email o download. Dove possibile, applica whitelist applicative, restrizioni su PowerShell e controllo degli script VBScript.
Terzo: rivedi le procedure di supporto. Le truffe via Quick Assist o falso supporto tecnico funzionano perché l’utente non ha un metodo chiaro per distinguere un intervento legittimo da uno fraudolento. Definisci una procedura semplice: chi può chiamare, da quale numero, con quale ticket, e quale strumento è autorizzato.
Quarto: monitora gli endpoint per comportamenti anomali, non solo per firme malware. Esecuzioni concatenate di wscript.exe, file .vbs in %TEMP%, download insoliti da cloud storage e modifiche a Defender sono indicatori che meritano allerta immediata. Se non hai presidi strutturati, rafforzare i controlli rientra nelle attività di sicurezza informatica.
Quinto: verifica backup e capacità di ripristino. In questo caso la fonte parla di backdoor, tunneling e cryptominer, ma ogni compromissione remota può evolvere. Avere copie isolate e testate riduce l’impatto operativo di un incidente. Un piano di remote backup ben gestito resta una misura essenziale.
Sesto: controlla i privilegi locali. Il ramo 010 citato nelle analisi punta a elevazione privilegi e persistenza. Se molti utenti hanno diritti amministrativi sulla propria macchina, il rischio sale. Ridurre i privilegi è una misura concreta e spesso poco costosa.
Infine, conserva log e tracce. Se sospetti una compromissione, non limitarti a disinstallare il client o cancellare i file temporanei: senza evidenze, capire l’estensione reale dell’incidente diventa molto più difficile.
Come reagire se sospetti un’infezione
Se trovi un client ScreenConnect non autorizzato o noti indicatori compatibili con questa catena, agisci in modo ordinato:
- isola subito il PC dalla rete;
- blocca l’account eventualmente usato per il supporto remoto;
- verifica se esistono altre postazioni che si sono collegate allo stesso sistema;
- raccogli i log di endpoint, PowerShell e connessioni remote;
- controlla la presenza di meccanismi di persistenza e modifiche a Defender;
- estendi l’analisi agli altri tool RMM installati sull’ambiente.
L’errore più comune è trattare il caso come un semplice “software indesiderato”. In una dinamica di tipo worm-like, il perimetro dell’incidente può essere più ampio del singolo PC inizialmente individuato.
Domande frequenti
ScreenConnect è vulnerabile di per sé?
La fonte parla di abuso di client ScreenConnect malevoli o non autorizzati, non di una nuova vulnerabilità confermata del prodotto citata nel testo fornito.
Se usiamo Quick Assist dobbiamo smettere subito?
Non necessariamente. Il problema è l’uso ingannevole dello strumento in una truffa di supporto tecnico. Serve una procedura interna chiara e verificabile.
Un antivirus standard basta a fermare questo tipo di attacco?
Non sempre. La catena osservata adatta il payload in base alle difese rilevate sul PC, quindi servono anche monitoraggio comportamentale, controllo degli accessi remoti e gestione centralizzata degli endpoint.