هجوم SCKit على ScreenConnect: عملاء مزيفون على 288 نقطة نهاية وما يجب فحصه الآن

في 11 نوفمبر 2026 استخدم مهاجم أمر Run Command في ScreenConnect على لوحات سحابية لتثبيت عملاء ScreenConnect مزيفين على 288 نقطة نهاية مُدارة على الأقل في 48 مؤسسة، بحسب Huntress. إن كنت تشغّل ScreenConnect أو تتعاقد مع مزوّد يشغّله، فافحص اللوحة اليوم حتى دون تنبيه.

ماذا حدث

• منذ نحو 17:47 بتوقيت UTC في 11 نوفمبر رصدت Huntress نشاطاً مشبوهاً على نقاط نهاية مرتبطة بعدة بيئات ScreenConnect. أصيبت المضيفات الـ288 كلها خلال نحو 90 دقيقة، ثلثها في أول 10 دقائق (Huntress، CyberScoop).
• نُفّذ الأمر بصلاحية SYSTEM فنزّل مثبّت ScreenConnect يتحكم فيه المهاجم وثبّته بصمت عميلاً ثانياً، ثم أسقط أداة تسميها Huntress باسم SCKit. تضيف SCKit استثناءات في Defender وتنشئ مهمة مجدولة اسمها TrapWatch وتستبدل عميل ScreenConnect الأصلي بنسخة المهاجم.
• تنصب الأداة فخاً: حين يتصل فني بجهاز مصاب يمكن التقاط جلسته واستخدامها ضد كل مضيف في تلك النسخة (تنبيه دعم Huntress).

نقطة الدخول المرجحة: إضافة من طرف ثالث

عطّلت ConnectWise خمس إضافات من أطراف ثالثة (Labtech Plus وRMM Plus وRMM+ وRMM Plus Password Link وRMM+ Password Link) في نحو 400 بيئة شريكة احترازياً، وتقول إنها لم تجد دليلاً على اختراق بنيتها ولا ثغرة في ScreenConnect نفسه (CyberScoop). وتربط Huntress النشاط بـ RMM+: الإصداران 1.0.31 و1.0.32 كانا يقبلان مفتاح وصول فارغاً إن لم يضبطه المسؤول قط، وتتجاوز الإضافة حسابات ScreenConnect والأدوار وMFA. وتقول ConnectWise إن أسلوب الدخول الأولي والنطاق الكامل قيد التحقيق (إرشادات ConnectWise). وجود هذه الإضافات وحده لا يعني أنك اخترقت.

ما العمل، بالترتيب

1. لا تتصل بمضيف مشتبه فيه عبر ScreenConnect. قد تنقل الجلسة التفاعلية الأداة إلى محطة الفني. استخدم EDR live response أو WinRM أو أداة خارج النطاق.
2. افحص إضافاتك. إن كانت إحدى الإضافات الخمس مثبتة فعطّلها. على الشركاء المحليين (on-premises) فعل ذلك بأنفسهم؛ لا تعد تثبيتها قبل توجيهات ConnectWise.
3. دقّق سجل Run Command وToolbox بحثاً عن تنفيذات لم تبدأها، وابحث عن عميل ScreenConnect ثانٍ على نقاط النهاية.
4. أحكم إغلاق النسخة من جهاز نظيف: أعد تعيين كلمات المرور وألغِ كل الجلسات وفرض MFA واحذف المستخدمين المجهولين.
5. اعزل المضيفات المصابة ونظّفها. احذف خدمة العميل المزيف ومهمة TrapWatch والمجلد C:\ProgramData\RelayTrap\. العزل وحده لا يزيل الاستمرارية؛ رصدت Huntress عودة العدوى بعد رفع العزل.
6. بدّل ما انكشف: حسابات domain admin والخدمات والنسخ الاحتياطي وhypervisor، وجلسات المتصفح، لأن الأداة قد تسرق رموز الجلسات.
7. احظر المؤشرات المنشورة في الجدار الناري وDNS (القائمة في تنبيه Huntress وBleepingComputer).

أدوات الوصول عن بُعد أصبحت مدخلاً مفضلاً. وللجانب المتعلق بمكتب المساعدة من المشكلة نفسها اقرأ المثبّتات المزيفة وأدوات RMM المطلوبة عبر برامج مكتب المساعدة.

الأسئلة الشائعة

هل ScreenConnect نفسه ضعيف؟ تقول ConnectWise إنها لم تجد ثغرة في ScreenConnect نفسه؛ والنشاط مرتبط بإضافات من أطراف ثالثة.

ما الإصدارات المتأثرة؟ تذكر Huntress إصدارَي ScreenConnect الحاليَّين 26.6.6.9747 و26.7.6.9783 في الحادثة، وكان خلل المفتاح الفارغ في RMM+ بالإصدارين 1.0.31 و1.0.32.

كم عدد الضحايا؟ تحصي Huntress 288 نقطة نهاية على الأقل في 48 مؤسسة، وتقول إن العدد قد يرتفع.