بدافزار کرم مانند SCKit جدید MSP ها را در حملات ScreenConnect هدف قرار می دهد.

یک جعبه ابزار بدافزار کرم مانند جدید به نام SCKit در حملات اخیر ScreenConnect با هدف قرار دادن ارائه دهندگان خدمات مدیریت شده (MSP) به کار گرفته شد که برای گسترش از دستگاه های مشتری آلوده به رایانه های تکنسین های MSP و به خطر انداختن شبکه های مدیریت شده اضافی طراحی شده است.

کیت ابزار بدافزار از تکنیک کرم مانندی استفاده می‌کند که از آسیب‌پذیری ScreenConnect قبلی وصله‌شده، CVE-2026-84869، برای اجرای کدهای مخرب در ایستگاه کاری تکنسین هنگام اتصال به دستگاه آلوده، سوء استفاده می‌کند.

با این حال، محققان Huntress و Blackpoint Cyber ​​می‌گویند که سوءاستفاده موفقیت‌آمیز از این نقص را در طول حملات مشاهده نکرده‌اند، با Blackpoint تأیید می‌کند که این اکسپلویت در آزمایش روی کلاینت ScreenConnect وصله‌شده شکست خورده است.

این یافته‌ها به دنبال حملات گسترده دیروز ScreenConnect است که در آن مهاجمان دسترسی غیرمجاز به محیط‌های ScreenConnect میزبانی شده در فضای ابری پیدا کردند و از ویژگی Run Command پلتفرم برای نصب کلاینت‌های دسترسی از راه دور ScreenConnect در نقاط انتهایی مشتری استفاده کردند.

ScreenConnect یک پلت فرم دسترسی و پشتیبانی از راه دور است که توسط MSP ها و تیم های فناوری اطلاعات برای مدیریت و عیب یابی دستگاه های مشتری از راه دور استفاده می شود.

بر اساس گزارش به روز شده Huntress، این حملات حداقل 288 نقطه پایانی را در 48 سازمان به خطر انداخته است، با تمام دستگاه های آسیب دیده در عرض 90 دقیقه. تقریبا یک سوم این سیستم ها در 10 دقیقه اول تحت تأثیر قرار گرفتند.

هانترس همچنین معتقد است که دسترسی اولیه از طریق RMM+ بوده است، یک برنامه افزودنی ScreenConnect شخص ثالث که به ابزارهای مدیریت خارجی اجازه می دهد بدون استفاده از کنسول استاندارد تکنسین با جلسات ScreenConnect تعامل داشته باشند.

محققان دریافتند که نسخه‌های RMM+ 1.0.31 و 1.0.32 حاوی یک نقص احراز هویت هستند که می‌تواند به مهاجمان اجازه دهد تا دستورات را بدون احراز هویت در ScreenConnect یا تکمیل احراز هویت چند عاملی اجرا کنند.

RMM+ از یک کلید دسترسی مشترک برای احراز هویت درخواست‌ها به جای حساب‌های کاربری عادی و مکانیسم‌های احراز هویت ScreenConnect استفاده می‌کند. با این حال، نسخه‌های آسیب‌پذیر به کلید دسترسی اجازه می‌دادند در صورتی که یک مدیر هرگز کلید دسترسی را پیکربندی نکرده باشد، خالی بماند.

هنگامی که این اتفاق افتاد، یک مهاجم می‌تواند یک کلید دسترسی خالی ارائه کند و بررسی احراز هویت برنامه‌های افزودنی را پاس کند و به آنها اجازه دهد تا دستورات راه دور را از طریق محیط ScreenConnect صادر کنند.

Huntress می‌گوید این با فعالیت مشاهده‌شده در طول حملات مطابقت دارد، جایی که دستورات در چندین نمونه ScreenConnect بدون فعالیت ورود کاربر مربوطه اجرا می‌شدند و گزارش‌ها دستورات را به RMM+ مرتبط می‌کردند.

به عنوان بخشی از پاسخ خود، ConnectWise پنج افزونه شخص ثالث مرتبط بالقوه را در تقریبا 400 محیط شریک غیرفعال کرد. این شرکت تاکید کرد که وجود این برنامه‌های افزودنی به معنای به خطر افتادن آن محیط‌ها نیست.

در تحلیل‌های جداگانه، Huntress و Blackpoint Cyber ​​SCKit را بررسی کردند، مجموعه‌ای از 16 اسکریپت و مؤلفه که برای ایجاد دسترسی از راه دور مداوم و گسترش بین سیستم‌هایی که از طریق ScreenConnect مدیریت می‌شوند، توسعه یافته‌اند.

Blackpoint Cyber's Adversary Pursuit Group (APG) لودر بدافزار را مستقیما از زیرساخت های کنترل شده توسط مهاجم بازیابی کرد و مراحل بعدی را رمزگشایی کرد تا لودر کامل و نصب کننده ScreenConnect مورد استفاده در حملات را به دست آورد.

مهاجمان ابتدا کلاینت های اضافی ScreenConnect Access را برای اتصال به سرورهای تحت کنترل آنها برای دسترسی از راه دور دائمی پیکربندی می کنند، حتی اگر جلسه اصلی MSP ScreenConnect خاتمه یابد.

با این حال، قابلیت جدیدتر SCKit تلاش آن برای تبدیل یک جلسه پشتیبانی از راه دور MSP قانونی به حمله علیه تکنسینی است که آن را آغاز می کند.

این جعبه ابزار شامل یک مؤلفه به نام RelayTrap است که برای جایگزینی فرآیند ScreenConnect Guest قانونی در حال اجرا در نقطه پایانی آلوده طراحی شده است و منتظر می ماند تا یک تکنسین MSP یک اتصال تعاملی برقرار کند.

مهاجمان به جای حذف یک فایل اجرایی از پیش کامپایل شده، RelayTrap را به عنوان فایل کد منبع C# با نام RelayTrap.cs در زیرساخت خود ذخیره می کنند.

سپس کد منبع در دستگاه های در معرض خطر دانلود می شود، جایی که یک اسکریپت PowerShell آن را به صورت محلی در یک فایل اجرایی کامپایل می کند.

یک مؤلفه جداگانه به نام TrapWatch خدمات ScreenConnect را نظارت می کند و فرآیند جایگزینی Guest را برای رهگیری جلسات پشتیبانی ورودی آماده می کند.

هنگامی که یک تکنسین MSP متصل می شود، RelayTrap سعی می کند یک فایل مخرب را در جهت مخالف عملیات پشتیبانی از راه دور معمولی، از نقطه پایانی مشتری آلوده به ایستگاه کاری تکنسین ارسال کند.

این تکنیک تلاش می‌کند تا از CVE-2026-84869، یک آسیب‌پذیری مهم انتقال فایل در سمت سرویس گیرنده ScreenConnect که ConnectWise در نسخه 26.6.5 وصله کرده است، سوء استفاده کند.

در شرایط عادی، ScreenConnect به تکنسین ها اجازه می دهد تا فایل ها را به نقاط پایانی مدیریت شده ارسال کرده و از راه دور اجرا کنند. در عوض، این آسیب‌پذیری به طور بالقوه به مهمان مخرب اجازه می‌دهد تا فایلی را به تکنسین بازگرداند و آن را اجرا کند.

کد منبع بازیابی شده همچنین حاوی نظرات گسترده‌ای است که عملکرد آن، راه‌حل‌های سازگاری، و خطاهای کدنویسی قبلی را توضیح می‌دهد و به آن ظاهر کد تولید شده توسط LLM می‌دهد.

هانترس همچنین اشاره کرد که به نظر می رسد RelayTrap با استفاده از یک مدل زبان بزرگ تولید شده است.

سپس بدافزار سعی می‌کند از مجوزهای موجود ScreenConnect تکنسین برای شمارش نقاط پایانی قابل دسترسی و توزیع دستورات مخرب از طریق ویژگی‌های مدیریت قانونی، از جمله جعبه ابزار مشترک پلت‌فرم، استفاده کند.

این یک زنجیره عفونت کرم مانند ایجاد می کند که در آن یک نقطه پایانی مشتری به خطر افتاده می تواند ایستگاه کاری تکنسین MSP را آلوده کند، جلسه مدیریت آنها را بدزدد و از آن دسترسی برای به خطر انداختن نقاط پایانی اضافی در سایر سازمان های مشتری استفاده کند.

با این حال، Huntress و Blackpoint Cyber ​​شاهد موفقیت این رفتار کرم مانند در طول کمپین فعلی نبودند.

Sam Decker و Nevan Beal، محققین Blackpoint، به BleepingComputer گفتند که آن‌ها اکسپلویت تلاش شده کیت ابزار را علیه یک کلاینت فعلی ScreenConnect بازتولید کردند و دریافتند که رفع امنیتی موجود مانع از اجرا می‌شود.

محققان توضیح دادند: "طرف مهمان انتقال را در صف قرار داد، اما مشتری فعلی هرگز بار را درخواست نکرد یا آن را اجرا نکرد."

هانترس به طور مشابه گزارش داد که تلاش برای تصاحب کنسول در هر گزارش میزبان بازیابی شده ای که مورد بررسی قرار گرفت، شکست خورد.

از MSPها خواسته می‌شود تا افزونه‌های شخص ثالث آسیب‌دیده را غیرفعال کنند، کلاینت‌های ScreenConnect را به‌روزرسانی کنند، نصب‌های غیرمجاز دسترسی از راه دور را بررسی کنند، و فعالیت‌های Run Command و Toolbox را برای نشانه‌هایی از سازش بررسی کنند.

هر دو تیم تحقیقاتی همچنین توصیه می‌کنند از جلسات ScreenConnect تعاملی با نقاط پایانی بالقوه آلوده اجتناب کنید و در عوض از ابزارهای امنیتی جداگانه برای بررسی سیستم‌ها استفاده کنید.

عوامل هوش مصنوعی Adaptive Security هدف، زمینه و رفتار ایمیل را برای کشف فیشینگ، در معرض خطر قرار دادن ایمیل تجاری و تقلب در صورت‌حساب تجزیه و تحلیل می‌کنند.

ببینید با اسکن 14 روزه فقط خواندنی Microsoft 365 یا Google Workspace، بدون هیچ تغییری در MX، چه اتفاقی می افتد.

حملات Active ScreenConnect MSP ها را نقض می کند، ده ها سازمان را تحت تأثیر قرار می دهد

نقص حیاتی ScreenConnect اکنون به طور فعال در حملات مورد سوء استفاده قرار می گیرد

هکرها 4800 حساب GitHub را به خطر می اندازند تا اعتبار ابر را به سرقت ببرند

N-able جدید "4EverAble2Shell" صفر روز چند ساعت پس از انتشار PoC مورد سوء استفاده قرار گرفت

سرور HTTP آپاچی نقص اجرای کد راه دور HTTP/2 را اصلاح می کند