حملات Active ScreenConnect MSP ها را نقض می کند، ده ها سازمان را تحت تأثیر قرار می دهد

ConnectWise در حال بررسی یک کمپین بدافزار فعال است که ارائه‌دهندگان خدمات مدیریت شده (MSP) را هدف قرار می‌دهد که از محیط‌های ScreenConnect آسیب‌دیده برای استقرار کلاینت‌های دسترسی از راه دور سرکش به دستگاه‌های مشتری استفاده می‌کند.

این کمپین اولین بار روز چهارشنبه توسط شرکت امنیت سایبری Huntress کشف شد که می گوید شش MSP در معرض خطر و 286 نقطه پایانی آسیب دیده را در 47 سازمان شناسایی کرده است و تعداد قربانیان همچنان در حال افزایش است.

هانترس در Reddit پست کرد: "SOC ما در حال کار یک کمپین فعال است که امروز در حدود ساعت 17:47 UTC با هدف قرار دادن نمونه های ScreenConnect میزبان ابری آغاز شده است."

"ما در حال حاضر 6 MSP به خطر افتاده و 286+ نقطه پایانی را ردیابی می کنیم، و این اعداد در حال افزایش هستند. ConnectWise درگیر است و با ما کار می کند."

ScreenConnect یک پلت فرم دسترسی و پشتیبانی از راه دور است که توسط MSP ها و تیم های فناوری اطلاعات برای مدیریت و عیب یابی دستگاه های مشتری از راه دور استفاده می شود.

به گفته Huntress، مهاجمان از عملکرد دستور اجرای ScreenConnect برای استقرار کلاینت های ScreenConnect در نقاط پایانی مدیریت شده استفاده می کنند و دسترسی از راه دور خارج از محیط قانونی ScreenConnect MSP را فراهم می کنند.

محققان همچنین در مورد یک تکنیک بالقوه خطرناک تر هشدار دادند که در آن مهاجمان می توانند ایستگاه کاری تکنسین MSP را هنگامی که یک جلسه ScreenConnect را با یک دستگاه مشتری آلوده شروع می کنند، به خطر بیاندازند.

مشخص نیست که این تکنیک چرخش معکوس گزارش شده چگونه کار می کند، از جمله اینکه آیا از یک آسیب پذیری نرم افزار سوء استفاده می کند یا از عملکرد قانونی ScreenConnect سوء استفاده می کند.

در بیانیه ای برای BleepingComputer، ConnectWise تایید کرد که در حال بررسی این حملات است و از شرکای خود خواست از جلسات از راه دور تعاملی با دستگاه های احتمالی در معرض خطر خودداری کنند.

ConnectWise به BleepingComputer گفت: «ما از گزارش‌های فعالیت مخربی که بر تعداد محدودی از شرکای ScreenConnect تأثیر می‌گذارد آگاه هستیم و به طور فعال در حال بررسی هستیم.

"به عنوان یک اقدام احتیاطی، شرکا باید از باز کردن جلسات ScreenConnect تعاملی برای دستگاه‌های مشکوک به خطر افتاده خودداری کنند و از ابزار امنیتی جداگانه برای بررسی استفاده کنند. شرکا همچنین باید فعالیت حساب را بررسی کنند، جلسات فعال را لغو کنند، اعتبارنامه‌ها را از یک دستگاه مورد اعتماد بازنشانی کنند، و احراز هویت چندعاملی را تأیید کنند."

این شرکت گفت که اطلاعات و راهنمایی های بیشتری را از طریق مرکز اعتماد ConnectWise ارائه خواهد کرد.

هانترس هنوز مشخص نکرده است که مهاجمان چگونه به محیط‌های آسیب‌دیده MSP دسترسی پیدا می‌کنند، اما می‌گوید تله‌متری فعلی آن‌ها به اعتبار به خطر افتاده و جلسات پشتیبانی MSP ربوده شده اشاره دارد.

هانترس همچنین هشدار داد که شناسه های متوالی استفاده شده توسط مهاجمان نشان می دهد که MSP های اضافی ممکن است قبلا در معرض خطر قرار گرفته باشند.

هانترس به BleepingComputer گفت: «برچسب‌های متوالی اختصاص‌داده‌شده توسط مهاجم نشان می‌دهند که MSP‌های دیگر ممکن است زودتر در معرض خطر قرار گرفته باشند، بنابراین کاربران ScreenConnect باید تاریخچه Run Command خود را بررسی کنند، حتی اگر هشدار دریافت نکرده‌اند».

هانترس همچنین برای کمک به سازمان‌ها در شناسایی فعالیت‌های مخرب، از جمله شناسه‌های کلاینت ScreenConnect و زیرساخت‌های استفاده شده توسط مهاجمان، شاخص‌های سازش (IOC) را به اشتراک گذاشت.

رله مهاجم: 185.99.255[.]28 (نام میزبان: صفحه نمایش)

دامنه های C2: newnewnew.gotdns[.]org، soxnewwork.homedns[.]org

C2 اضافی احتمالی: cdn007-digitaldownloads[.]com

C2 ثانویه: sc.payproofkit[.]com (155.94.150[.]39، نام میزبان: WIN-FB5CKHMU4E1)

شناسه‌های کلاینت Rogue ScreenConnect: 2588ef5c15954b10، ed630cc2c873b091

الگوی نصب کننده: /Bin/ScreenConnect.ClientSetup.msi?...&c=Exploited<N>

فایل‌ها: Panel-Lateral.ps1، runnew.cmd، ToolboxRelayUploader.exe، Run-Lateral-Full.bat

محققان از MSP ها می خواهند که محیط های خود را برای نشانه هایی از سازش بررسی کنند و از شروع جلسات ScreenConnect تعاملی با نقاط پایانی بالقوه آلوده خودداری کنند.

BleepingComputer با سؤالات اضافی در مورد حملات با Huntress تماس گرفت و در صورت دریافت پاسخ، پست را به روز می کند.

BleepingComputer یک اسکریپت دسته‌ای مخرب قبلی را شناسایی کرد که به یکی از شناسه‌های کلاینت ScreenConnect فهرست شده توسط Huntress اشاره می‌کند و نشان می‌دهد که این شناسه ماه‌ها قبل از افشای حملات فعلی در فعالیت‌های مخرب استفاده شده است.

این اسکریپت با نام SSA-2026-STATEMENT-15518787.bat [VirusTotal]، به نظر می‌رسد جعل بیانیه‌ای از سازمان تامین اجتماعی است و اولین بار در 25 ژوئیه 2026 در VirusTotal بارگذاری شد.

فایل دسته‌ای تلاش می‌کند تا حذف‌های Microsoft Defender را اضافه کند و از طریق پوشه Windows Startup و کلید رجیستری Run، ماندگاری ایجاد می‌کند.

سپس با amexsafekeyupdate.com تماس می گیرد تا دستورات نصب را برای دو نصب کننده جداگانه بازیابی کند.

فعالیت جعبه ایمنی VirusTotal مرتبط با نمونه شامل بارگیری‌های نصب‌کننده ScreenConnect MSI از cdn007-digitaldownloads[.]com و cyberrexdesign.screenconnect[.]com است، با digitaldownloads[.]com که توسط Huntress به‌عنوان یک IOC بالقوه فهرست شده است.

پس از راه‌اندازی نصب‌کننده دوم، اسکریپت از PowerShell برای جستجوی فرآیندهای در حال اجرا و خدمات ویندوز برای ed630cc2c873b091، یکی از شناسه‌های کلاینت ScreenConnect که توسط Huntress شناسایی شده است، استفاده می‌کند.

در صورت یافتن شناسه، اسکریپت نصب را موفقیت آمیز می داند و از طریق تلگرام برای مهاجمان اعلان ارسال می کند.

اسکریپت قبلی همچنین به نظر می رسد برای یک کمپین توزیع متفاوت طراحی شده است، با نام فایل موضوع امنیت اجتماعی آن نشان می دهد که ممکن است در حملات فیشینگ استفاده شده باشد.

هنوز مشخص نیست که آیا فعالیت ماه جولای و حملات فعلی MSP بخشی از یک کمپین هستند یا خیر.

عوامل هوش مصنوعی Adaptive Security هدف، زمینه و رفتار ایمیل را برای کشف فیشینگ، در معرض خطر قرار دادن ایمیل تجاری و تقلب در صورت‌حساب تجزیه و تحلیل می‌کنند.

ببینید با اسکن 14 روزه فقط خواندنی Microsoft 365 یا Google Workspace، بدون هیچ تغییری در MX، چه اتفاقی می افتد.

بازیابی باج افزار اکنون یک معیار حفظ مشتری است

نحوه ایمن سازی نرم افزار RMM: 8 کنترل که MSP ها باید آزمایش کنند

نقص حیاتی ScreenConnect اکنون به طور فعال در حملات مورد سوء استفاده قرار می گیرد

ربع تراژیک شکارچی: تهدیدهای رتبه بندی که بیشترین ضربه را به مشاغل می زند