ScreenConnect ثغرة في الامتداد تغذي حملة برمجيات خبيثة تصيب 288 نقطة نهاية
ثغرة في امتداد RMM+ لبرنامج ScreenConnect مكنت المهاجمين من نشر برمجية خبيثة إلى 288 مضيفًا في 48 مؤسسة، مما دفع ConnectWise إلى تعطيل عشرات الامتدادات في 400 بيئة.
في عملية منسقة بدأت في 11 نوفمبر، استخدم المهاجمون ضعفًا في امتداد RMM+ لأداة الدعم عن بُعد ConnectWise’s ScreenConnect لنشر مجموعة برمجيات خبيثة تسمى SCKit على 288 نقطة نهاية في 48 شركة. كشفت Huntress عن الحملة وأفادت أن البرمجية الخبيثة تم تثبيتها على 288 جهازًا خلال 90 دقيقة من أول أمر، مع إصابة ثلث الأجهزة خلال الدقائق العشر الأولى.
- Huntress تتبع الهجمات إلى ثغرة مصادقة مفتاح فارغ في إصدارات RMM+ 1.0.31 و 1.0.32.
- ConnectWise عطل خمسة امتدادات من عائلة RMM+ في حوالي 400 بيئة ScreenConnect.
- يُنصح المسؤولون بتجنب الاتصالات عن بُعد عبر ScreenConnect عند التحقيق في الإصابات.
كيف سارت الهجمة
وفقًا لـ Huntress، حصل المهاجمون أولاً على وصول غير مصرح به إلى لوحات تحكم ScreenConnect المستضافة سحابيًا. بمجرد الدخول، أصدروا أوامر عن بُعد تثبت عملاء ScreenConnect مزيفين ومجموعة أدوات SCKit على كل هدف. تتضمن المجموعة عميل ScreenConnect منفصل يحافظ على وجوده حتى إذا انتهت الجلسة الشرعية. كما تحتوي على شيفرة مصممة لسرقة ملفات تعريف الارتباط للجلسة، ونظريًا، للانتشار من محطة فني إلى عملاء آخرين تحت نفس مزود الخدمة التقنية.
استغلال ثغرة مصادقة RMM+
كانت نواة الحملة ثغرة في امتداد RMM+، الذي يسمح لأدوات الإدارة من طرف ثالث بإصدار أوامر عبر ScreenConnect. الإصدارات 1.0.31 و 1.0.32 تستخدم مفتاح وصول فارغ افتراضيًا إذا لم يُحدد أي مفتاح، مما يتيح للمهاجم تجاوز المصادقة متعددة العوامل في ScreenConnect. أشار Huntress إلى أن المهاجمين استغلوا هذه الثغرة لتشغيل أوامر على النقاط النهائية المدارة دون أي نشاط تسجيل دخول في السجلات.
استجابة ConnectWise وحجم التأثير
حددت ConnectWise حوالي 400 تثبيت لبرنامج ScreenConnect يحتوي على امتداد واحد على الأقل من عائلة RMM+. في نشرة أمنية، عطلّت الشركة خمسة امتدادات — RMM+، RMM Plus، Labtech Plus، RMM Plus Password Link، و RMM+ Password Link — عبر تلك البيئات وحثّت العملاء المحليين على فعل ذلك أيضًا. أوضحت النشرة أن وجود الامتدادات وحده لا يثبت الاختراق، لكن الامتدادات توفر API يمكنه تنفيذ أوامر عن بُعد إذا عُرف أو استُخدم المفتاح الافتراضي.
ما يمكن للبرمجية الخبيثة القيام به وما لم تفعله بعد
SCKit هي مجموعة أدوات مكوّنة من 16 ملفًا تثبت بابًا خلفيًا دائمًا، وتلتقط ملفات تعريف الارتباط للجلسة، ويمكنها النسخ الذاتي. لاحظ Huntress أن البرمجية تحاول تحويل الحاسوب المصاب إلى فخ للفنيين: إذا اتصل فني عبر ScreenConnect، تحاول المجموعة نسخ البرمجية الخبيثة إلى محطة عمل الفني واستخدام ذلك للوصول إلى أجهزة أخرى. ومع ذلك، لم يرَ Huntress أي نجاح لهذه الوظيفة في سجلات أي جهاز مستعاد.
الخطوات التالية للمسؤولين
يوصي كل من Huntress وConnectWise بأن يتجنب المسؤولون التحقيق في الإصابات المشتبه بها عبر الاتصال عن بُعد من خلال ScreenConnect، لأن ذلك قد يكشف محطة عمل الفني. بدلاً من ذلك، ينبغي استخدام أدوات أمان أخرى لفحص وجود عملاء ScreenConnect مزيفين، ومراجعة سجلات الأوامر، وإزالة أي برمجيات خبيثة باقية. مجرد تعطيل الامتدادات الضعيفة لن يمحو آليات البقاء أو البرامج غير المصرح بها المثبتة بالفعل.
لماذا يهم هذا فرق تكنولوجيا المعلومات والشركات
يُستخدم ScreenConnect على نطاق واسع من قبل مزودي الخدمات المدارة لدعم شبكات العملاء. تُظهر الهجمة أن ثغرة في امتداد طرف ثالث يمكن أن تمنح المهاجمين موطئ قدم عبر عدة عملاء دون الحاجة لاختراق التطبيق الأساسي. بالنسبة للشركات التي تعتمد على أدوات الدعم عن بُعد، تؤكد الحادثة أهمية مراقبة إعدادات الامتدادات، وتطبيق مفاتيح وصول قوية، وتحديث جميع المكونات — بما فيها الإضافات من طرف ثالث — بانتظام. كما تسلط الضوء على ضرورة وجود خطط استجابة للحوادث تتجنب استخدام القناة المخترقة في عمليات التشخيص.
