Authentication bypass using an alternate path or channel

Falha de bypass de autenticação no ScreenConnect (antigo ConnectWise Control) on-premises que permite a um atacante não autenticado alcançar funcionalidade equivalente à do assistente de configuração inicial do servidor, criando uma conta de administrador do zero. Com essa conta, o atacante sobe um plugin/extensão maliciosa e executa código arbitrário no processo do ScreenConnect.Service.exe, obtendo controle total do servidor — que, por natureza, já tem acesso remoto a todos os endpoints gerenciados por ele. É o tipo raro de CVSS 10.0 que corresponde à realidade: sem autenticação, sem interação do usuário, ataque de baixa complexidade, e com exploração massiva confirmada em produção dias após a divulgação.

A falha é classificada como CWE-288 (Authentication Bypass Using an Alternate Path or Channel): existe um caminho de acesso — associado à lógica de setup/configuração inicial do ScreenConnect — que permanece alcançável mesmo após a instalação já estar configurada, sem exigir credenciais. Um atacante que acessa esse caminho alternativo consegue executar ações reservadas ao fluxo de first-run, entre elas a criação de uma nova conta administrativa no servidor.

A partir da conta admin recém-criada, o encadeamento para execução de código é direto e documentado publicamente: o ScreenConnect permite que administradores instalem 'extensions' (plugins) no servidor. O atacante faz upload de uma extensão maliciosa contendo um payload, que é carregada e executada dentro do processo ScreenConnect.Service.exe — em Windows, com privilégios de SYSTEM, segundo demonstrações públicas do módulo Metasploit.

O atacante não precisa controlar nenhum parâmetro complexo de aplicação: o vetor é HTTP simples contra o servidor web do ScreenConnect, sem interação de usuário e sem necessidade de acesso prévio à rede interna — apenas alcançar a porta HTTP/HTTPS do serviço, tipicamente exposta na internet em instalações on-premise para permitir sessões remotas.

A ConnectWise corrigiu, na mesma atualização, uma segunda falha (path traversal) que exige privilégios elevados para ser explorada — essa é bem menos crítica e não deve ser confundida com o bypass de autenticação tratado aqui.

Pré-requisito real: instância ScreenConnect self-hosted (on-premise) exposta na rede, rodando 23.9.7 ou anterior, com o serviço web acessível ao atacante — não há necessidade de conta, token ou configuração não padrão. Servidores hospedados na nuvem da própria ConnectWise (screenconnect.com/hostedrmm.com) já estavam protegidos antes da divulgação pública, segundo a fornecedora.

Na prática, a cadeia de exploração documentada (PoC pública da watchTowr e módulo Metasploit) é: (1) acionar o caminho de bypass para criar uma conta administrativa nova no servidor; (2) autenticar com essa conta; (3) fazer upload de uma extensão maliciosa que hospeda um payload; (4) a extensão é carregada pelo processo do serviço, entregando execução de comando ou shell. O próprio autor do módulo Metasploit descreveu o processo como direto o suficiente para automação completa, e pesquisadores classificaram publicamente a exploração como 'trivial e embaraçosamente fácil'.

Exploração ativa foi confirmada pela ConnectWise dias após a divulgação (fevereiro de 2024), inicialmente negada e depois admitida após relatos de contas comprometidas; a companhia chegou a publicar IPs usados por atacantes. A Huntress documentou instalação de beacons Cobalt Strike e até a instalação de um segundo cliente ScreenConnect na própria máquina comprometida como mecanismo de persistência, além de relatar visibilidade sobre milhares de servidores vulneráveis expostos (números públicos variam entre ~1.600 via telemetria da Huntress e ~7.600–8.800 via Shodan/Censys logo após a divulgação).

A correção do fornecedor é a atualização para ScreenConnect 23.9.8 ou versão posterior — não há flag de configuração, WAF rule oficial ou desativação de módulo que substitua o patch, porque a falha está no próprio fluxo de autenticação/setup da aplicação, não em uma feature opcional. Instâncias hospedadas na nuvem oficial da ConnectWise já estavam protegidas antes da divulgação, segundo a fornecedora; o risco recai inteiramente sobre instalações self-hosted (on-premise).

Se a atualização imediata não for possível, o controle compensatório real é isolar o servidor: remover a exposição direta à internet (colocar detrás de VPN ou allowlist de IPs), já que o vetor exige apenas alcançar a porta web do serviço. Isso reduz a superfície mas não elimina o risco para quem já tem acesso à rede interna — não é substituto do patch.

Após comprometimento suspeito, atualizar a versão não desfaz uma exploração já ocorrida: contas administrativas criadas indevidamente, extensões instaladas e clientes ScreenConnect adicionais precisam ser auditados e removidos manualmente, e credenciais de todos os usuários administrativos devem ser rotacionadas. Assumir que 'só atualizar' resolve um ambiente já comprometido é o erro mais comum reportado nos primeiros dias do incidente.

Sinais reportados por pesquisadores durante a exploração ativa incluem: contas de usuário administrativas criadas sem correspondência a uma ação legítima de onboarding; extensões/plugins instalados no servidor que não foram provisionados pela equipe (o Metasploit chega a removê-los após uso, então ausência de extensão não indica ausência de comprometimento); tráfego de saída consistente com beacons Cobalt Strike a partir do host ScreenConnect; e a presença de um segundo cliente ScreenConnect instalado na própria máquina do servidor como mecanismo de persistência. A ConnectWise divulgou IPs específicos usados por atacantes nos primeiros dias da campanha, úteis como IOC pontual mas de vida curta.

Não há uma assinatura única e confiável de rede para a exploração em si, porque o vetor abusa de um caminho legítimo da aplicação (não uma injeção com payload distintivo); a detecção depende mais de auditoria de contas/extensões no próprio ScreenConnect e de monitoramento de comportamento pós-exploração do que de inspeção de payload na borda.