هجمات ScreenConnect: برنامج SCKit يستهدف مزودي MSP
اخترق مهاجمون بيئات ConnectWise ScreenConnect السحابية وزرعوا برامج وصول عن بُعد غير مصرح بها في 288 جهازاً على الأقل في 48 مؤسسة، وبعدها ظهرت أداة SCKit المصممة للانتقال من أجهزة العملاء إلى أجهزة الفنيين.
⚡ لماذا يهمك؟
أدوات الدعم عن بُعد تفتح باباً مباشراً إلى أجهزة كل عملاء مزود الخدمة. وفي هذه الحملة أصاب المهاجمون كل الأجهزة خلال 90 دقيقة فقط.
ScreenConnect منصة دعم ووصول عن بُعد يستخدمها مزودو الخدمات المدارة (MSP) وفرق IT. وبحسب Huntress، أصابت الحملة 288 جهازاً على الأقل في 48 مؤسسة، كلها خلال 90 دقيقة، وثلثها تقريباً في أول 10 دقائق.
كيف دخل المهاجمون؟
ترجّح Huntress أن الوصول الأول جاء عبر إضافة خارجية اسمها RMM+. فالنسختان 1.0.31 و1.0.32 تسمحان بترك مفتاح الوصول فارغاً إن لم يضبطه المسؤول، فيكفي أن يرسل المهاجم مفتاحاً فارغاً لينفذ أوامر دون مصادقة أو MFA. بعدها استخدم المهاجمون خاصية Run Command لتثبيت عملاء ScreenConnect خبيثة على الأجهزة.
أوقفت ConnectWise احترازياً خمس إضافات خارجية هي Labtech Plus وRMM Plus وRMM+ ونسختا Password Link، وقالت إنه لا دليل على اختراق بنيتها أو ثغرة في ScreenConnect نفسه.
ما هو SCKit؟
أداة خبيثة تشبه الدودة (Worm). فيها مكوّن اسمه RelayTrap يحاول إصابة جهاز الفني الذي يتصل بجهاز مصاب ليفحصه، مستغلاً ثغرة سابقة مصلحة برقم CVE-2026-84869 (درجة 9.9). وأكدت Blackpoint أن التحديث يمنع هذا الاستغلال، لكنها نبهت إلى أن الأداة تستطيع أيضاً اختطاف جلسات فنيين مسجلين.
ماذا تفعل؟
- عطّل الإضافات المذكورة، وحدّث عميل ScreenConnect.
- ابحث عن مؤشرات الاختراق، منها النطاق
ns.mo7sen[.]devوالملفانsckit-run.batوsckit-decoder.ps1. - راجع حسابات المسؤولين الجديدة، وأي برامج وصول عن بُعد غير معتمدة على أجهزة العملاء والفنيين.
🔗 المصدر
هذا المقال صياغة عربية أصلية من فريق عالم الحماية اعتمادًا على المصادر المذكورة أعلاه، والاقتباسات الحرفية محدودة وموضوعة بين علامتي تنصيص. للتصحيح أو الملاحظات: info [at] securitywd.net.
اقرأ أيضًا
تحذير FBI: أداة Artex تحوّل الذكاء الاصطناعي إلى سلاح اختراق آلي
أصدر FBI تنبيهاً عاجلاً عن Artex، منصة اختبار اختراق مفتوحة المصدر تربط أي نموذج لغوي بوكلاء AI ينفذون مراحل الهجوم تلقائياً. ويقول المكتب إن بعض الاختراقات وصلت إلى صلاحيات عالية في أقل من ثلاث ساعات.
ثغرة Xen Orchestra مستغلة: تجاوز المصادقة والسيطرة على XCP-ng
حذرت شركة Vates الفرنسية من ثغرة حرجة في Xen Orchestra، أداة إدارة بيئات XCP-ng الافتراضية، تُستغل حالياً. الثغرة تتيح تجاوز المصادقة بكوكي معدّ خصيصاً، ثم الحصول على صلاحيات Admin والسيطرة على الخادم بصلاحية root.
استغلال ثغرتي Cisco BroadWorks وOpenwave: CISA تضيفهما إلى KEV
أضافت CISA يوم الثلاثاء 10 نوفمبر ثغرتين في Cisco BroadWorks وOpenwave Messaging Webtop Media Transcoder إلى كتالوج الثغرات المستغلة فعلياً (KEV)، رغم توفر إصلاحاتهما منذ أشهر.