در ۱۱ نوامبر ۲۰۲۶ مهاجمی با Run Command در پنل‌های ابری ScreenConnect روی دست‌کم ۲۸۸ نقطهٔ پایانی تحت مدیریت در ۴۸ سازمان کلاینت‌های جعلی ScreenConnect نصب کرد، طبق گزارش Huntress. اگر ScreenConnect اجرا می‌کنید، یا ارائه‌دهنده‌ای دارید که اجرا می‌کند، همین امروز پنل را بررسی کنید، حتی بدون هشدار.
چه شد
- از حدود ساعت ۱۷:۴۷ UTC روز ۱۱ نوامبر، Huntress فعالیت مشکوک روی نقاط پایانی چند محیط ScreenConnect دید. هر ۲۸۸ میزبان در حدود ۹۰ دقیقه آلوده شدند و یک‌سوم در ۱۰ دقیقهٔ اول (Huntress، CyberScoop).
- فرمان با دسترسی SYSTEM اجرا شد، نصب‌کنندهٔ ScreenConnect متعلق به مهاجم را دانلود و بی‌صدا به‌عنوان کلاینت دوم نصب کرد، و بعد ابزاری را گذاشت که Huntress آن را SCKit می‌نامد. SCKit استثنای Defender اضافه می‌کند، یک scheduled task با نام
TrapWatchمی‌سازد و کلاینت اصلی ScreenConnect را با نسخهٔ مهاجم جایگزین می‌کند. - ابزار تله می‌گذارد: وقتی تکنسین به دستگاه آلوده وصل شود، نشستش می‌تواند ضبط و علیه همهٔ میزبان‌های آن instance استفاده شود (هشدار پشتیبانی Huntress).
نقطهٔ ورود محتمل: افزونهٔ شخص ثالث
ConnectWise پنج افزونهٔ شخص ثالث (Labtech Plus، RMM Plus، RMM+، RMM Plus Password Link، RMM+ Password Link) را در حدود ۴۰۰ محیط شریک به‌عنوان احتیاط غیرفعال کرد و می‌گوید نشانه‌ای از نفوذ به زیرساخت خود یا آسیب‌پذیری در خود ScreenConnect پیدا نکرده (CyberScoop). Huntress فعالیت را به RMM+ ربط می‌دهد: نسخه‌های 1.0.31 و 1.0.32 وقتی مدیر هرگز کلید دسترسی را تنظیم نکرده بود کلید خالی را می‌پذیرفتند، و این افزونه حساب‌های کاربری، نقش‌ها و MFA در ScreenConnect را دور می‌زند. ConnectWise می‌گوید روش دسترسی اولیه و دامنهٔ کامل هنوز در حال بررسی بود (راهنمای ConnectWise). صرف وجود این افزونه‌ها یعنی نفوذ نشده‌اید.
چه کار کنید، به ترتیب
- با ScreenConnect به میزبان مشکوک وصل نشوید. نشست تعاملی می‌تواند ابزار را به ایستگاه کاری تکنسین برساند. از EDR live response، WinRM یا ابزار خارج از باند استفاده کنید.
- افزونه‌هایتان را ببینید. اگر یکی از پنج مورد بالا نصب است غیرفعالش کنید. شریک‌های on-premises باید خودشان این کار را بکنند؛ تا راهنمای بعدی ConnectWise دوباره نصب نکنید.
- تاریخچهٔ Run Command و Toolbox را ممیزی کنید برای اجراهایی که خودتان شروع نکرده‌اید، و دنبال کلاینت دوم ScreenConnect روی نقاط پایانی بگردید.
- instance را از یک دستگاه تمیز قفل کنید: رمزها را ریست، همهٔ نشست‌ها را revoke، MFA را اجباری و کاربران ناشناس را حذف کنید.
- میزبان‌های آلوده را ایزوله و پاک کنید. سرویس کلاینت جعلی، تسک
TrapWatchوC:\ProgramData\RelayTrap\را حذف کنید. ایزوله‌سازی تنها پایداری را پاک نمی‌کند؛ Huntress بعد از برداشتن ایزوله‌سازی آلودگی مجدد دیده. - آنچه در معرض بود را بچرخانید: حساب‌های domain admin، سرویس، بکاپ و hypervisor، و نشست‌های مرورگر، چون ابزار می‌تواند توکن نشست بدزدد.
- شاخص‌های منتشرشده را در فایروال و DNS ببندید (فهرست در هشدار Huntress و BleepingComputer است).
ابزارهای دسترسی از راه دور حالا راه ورود محبوب‌اند. دربارهٔ سمت helpdesk همین مشکل نصب‌کننده‌های جعلی و ابزارهای RMM که از طریق نرم‌افزار helpdesk درخواست می‌شوند را بخوانید.
پرسش‌های متداول
آیا خود ScreenConnect آسیب‌پذیر است؟ ConnectWise می‌گوید آسیب‌پذیری در خود ScreenConnect پیدا نکرده؛ فعالیت به افزونه‌های شخص ثالث مربوط است.
کدام نسخه‌ها تحت تأثیرند؟ Huntress نسخه‌های فعلی ScreenConnect یعنی 26.6.6.9747 و 26.7.6.9783 را در این حادثه گزارش می‌کند و ضعف کلید خالی در RMM+ نسخه‌های 1.0.31 و 1.0.32 بود.
چند قربانی؟ Huntress دست‌کم ۲۸۸ نقطهٔ پایانی در ۴۸ سازمان می‌شمارد و می‌گوید ممکن است بیشتر شود.
