ScreenConnect: como corrigir o acesso remoto e preservar os dados
Por Equipe Técnica HD Doctor
Resposta direta
Empresas que usam ScreenConnect devem conferir as instalações de acesso remoto com a equipe de TI e proteger as cópias dos dados essenciais. Se uma sessão apresentar atividade desconhecida, interrompa o suporte suspeito e acione a resposta a incidentes por um canal confiável. Preserve os registros antes de limpar a máquina ou restaurar arquivos: corrigir o acesso e decidir quais dados recuperar são etapas diferentes.
O que mudou e por que isso importa para os dados?
Em 8/9/2026, a ConnectWise anunciou a correção da CVE-2026-84869 no cliente ScreenConnect. Em determinadas condições, uma sessão ativa permite transferência e execução de arquivos sem confirmação do Host. O componente servidor do ScreenConnect não é afetado por essa falha. Fonte: https://www.connectwise.com/company/trust/security-bulletins/2026-09-08-screenconnect-bulletin. A Huntress atualizou sua investigação em 8/9 às 21h ET, confirmando o patch. A pesquisa documenta clientes adulterados propagando scripts entre equipamentos conectados; os incidentes investigados começaram antes dessa atualização. Fonte: https://www.huntress.com/blog/rogue-screenconnect-installations. Para uma PME, nossa recomendação é verificar também a estação usada pelo suporte: quais pastas ela acessa, quais credenciais utiliza e se alcança os backups. Esse levantamento ajuda a definir o que investigar, sem presumir que todos os equipamentos foram invadidos. Os relatos citados não demonstram que os arquivos da sua empresa tenham sido apagados ou cifrados. Se houver perda real, registre quando os arquivos foram vistos íntegros pela última vez e preserve as mídias e cópias disponíveis. Uma restauração pode devolver documentos e, ao mesmo tempo, eliminar alterações legítimas recentes. A HD Doctor pode avaliar dados inacessíveis em arquivos, discos, VMs e bancos; a viabilidade depende do material preservado e do dano identificado.
O que evitar após uma sessão suspeita?
- 1.Aceitar uma nova conexão de suporte sem confirmar a origem. Valide a identidade do prestador por um contato já conhecido. Não use apenas o telefone ou o link exibido na própria mensagem que gerou a suspeita.
- 2.Formatar a máquina antes de registrar o ocorrido. A reinstalação pode eliminar registros e sobrescrever dados necessários à análise. Combine a preservação e a limpeza com os responsáveis pelo incidente.
- 3.Restaurar sobre a única cópia dos arquivos. Guarde o estado afetado e faça testes em outro destino. Se só existe uma mídia com os dados perdidos, interrompa gravações e peça orientação técnica antes de tentar reparos.
Como coordenar atualização, investigação e recuperação?
Use este roteiro com o administrador e o prestador de suporte. Havendo suspeita de comprometimento, a contenção e a coleta de evidências devem ser coordenadas.
- 1
Confirme a correção em cada cliente
Siga o boletim: atualize para 26.6.5, reinstale clientes Host e atualize agentes Access. Confira o procedimento aplicável com o fornecedor.
- 2
Mapeie as sessões e os equipamentos envolvidos
Registre horários, usuários, prestador autorizado e máquinas conectadas. Compare com os chamados de suporte aprovados e separe atividades reconhecidas daquelas que precisam ser investigadas.
- 3
Preserve o estado antes de remover o que é suspeito
Peça à equipe de segurança que guarde registros de sessões e alertas. Documente as ações executadas e mantenha as cópias fora do alcance das credenciais suspeitas, por um canal administrativo confiável.
- 4
Teste os dados essenciais em um destino separado
Confira documentos, anexos, arquivos de banco e dados das aplicações usando uma cópia validada. Registre períodos ausentes e alterações legítimas posteriores ao backup; abrir um arquivo isolado não valida todo o conjunto.
- 5
Encaminhe as perdas que o backup não resolve
Se arquivos continuarem ausentes ou ilegíveis, preserve os originais. Informe à HD Doctor o tipo de mídia, o sistema, a cronologia e as tentativas já realizadas para avaliar a recuperação, sem promessa antecipada de resultado.
Perguntas sobre ScreenConnect e recuperação de dados
Uma sessão suspeita comprova que perdi dados?
Não. Ela exige investigação do que foi acessado ou alterado. Compare os arquivos e os registros do negócio antes de decidir por uma restauração que possa descartar trabalho recente.
Posso considerar o incidente encerrado depois de atualizar?
A atualização e a análise do que aconteceu anteriormente têm objetivos diferentes. A equipe responsável precisa conferir o alcance das alterações, as permissões e a integridade dos dados antes de encerrar a resposta.
Devo restaurar o backup mais novo?
Escolha uma cópia cujo conteúdo e data tenham sido verificados para o caso. Um backup recente pode conter alterações indesejadas; uma cópia antiga pode excluir trabalho válido. Teste em outro destino e documente as lacunas.
Quando procurar a HD Doctor?
Quando os dados necessários continuarem inacessíveis ou danificados e não houver uma cópia válida que resolva a perda. Preserve os arquivos e as mídias para diagnóstico. A recuperação de dados não substitui a contenção e a correção do acesso remoto.
Arquivos inacessíveis após um incidente de acesso remoto?
Informe o sistema afetado, as cópias disponíveis e o que já foi tentado.