تواجه مؤسسات تستخدم برنامج الدعم والتحكم عن بُعد ScreenConnect حملة هجمات استُخدمت فيها لوحات إدارة سحابية لنشر نسخ تحكم غير مصرح بها على أجهزة العملاء، وفق تحقيق لشركة الأمن السيبراني Huntress وتحذير أصدرته الشركة المطورة ConnectWise وحُدّث في 12 نوفمبر/تشرين الثاني 2026.
وقالت Huntress إنها رصدت تأثر ما لا يقل عن 288 جهازاً مُداراً في 48 مؤسسة تستخدم خدماتها. وهذه حصيلة ضمن نطاق رصدها، ولا تمثل إحصاءً شاملاً لجميع مستخدمي البرنامج عالمياً.
بدأ النشاط المرصود عند الساعة 17:47 بتوقيت غرينتش في 11 نوفمبر. وبحسب الباحثين، استُخدمت وظيفة تشغيل الأوامر في لوحات ScreenConnect لتثبيت عملاء يتحكم بهم المهاجم، ثم تنزيل حزمة خبيثة أطلق عليها اسم «SCKit» لإبقاء وصول مستمر إلى الأجهزة.
وربط تحليل الشركة النشاط بإضافة خارجية اسمها RMM+؛ إذ قالت إن الإصدارين 1.0.31 و1.0.32 كانا يقبلان مفتاح وصول فارغاً إذا لم يكن المسؤول قد ضبط المفتاح. وأضافت أن الأوامر ظهرت مرتبطة بهذه الإضافة في السجلات التي راجعتها، من دون نشاط دخول مقابل.
وحلل الباحثون أيضاً شيفرة مصممة لسرقة رموز جلسات الفني ومحاولة الانتقال من جهاز مصاب إلى حاسوب الفني، ثم إلى أجهزة أخرى. لكنهم شددوا على أنهم لم يرصدوا نجاح هذا المسار في السجلات المستعادة التي فحصوها؛ فالقدرة الموجودة في الشيفرة تختلف عن الانتشار الذي شوهد فعلياً.
من جهتها، قالت ConnectWise إنها عطلت احترازياً خمس إضافات من عائلة RMM+ في نحو 400 بيئة سحابية كانت مثبتة فيها. وأكدت أن وجود الإضافات لا يثبت تعرض البيئة للاختراق، وأن التحقيق في طريقة الدخول والنطاق الكامل مستمر.
التعليقات (0)