کمپین بدافزاری فعالی در حال هدف قرار دادن ارائه‌دهندگان خدمات مدیریت شده (MSP) است که از محیط‌های سازمانی ScreenConnect برای استقرار کلاینت‌های دسترسی از راه دور (Remote-access clients) غیرمجاز روی دستگاه‌های مشتریان استفاده می‌کند.
جزئیات عملیات و مکانیسم حمله
یافته‌های فنی نشان می‌دهد که عامل تهدید از قابلیت Run Command در پلتفرم ScreenConnect برای نصب کلاینت‌های جعلی روی نقاط انتهایی (Endpoints) مدیریت‌شده استفاده می‌کند. این اقدام به مهاجمان اجازه می‌دهد تا خارج از محیط قانونی MSP، دسترسی از راه دور به سیستم‌های مشتریان داشته باشند.
یکی از جنبه‌های خطرناک این حمله، احتمال نفوذ به ایستگاه‌های کاری (Workstations) تکنسین‌های MSP است؛ زمانی که تکنسین یک نشست (Session) تعاملی با دستگاه آلوده مشتری برقرار می‌کند، احتمال سرایت بدافزار به سیستم تکنسین وجود دارد.
اقدامات پیشگیرانه و مهار
در راستای مهار این تهدید، پنج افزونه (Extension) شخص ثالث که احتمالاً با این حملات مرتبط هستند، در حدود ۴۰۰ محیط شریک تجاری غیرفعال شده‌اند.
- مشتریان ابری: افزونه‌ها به صورت متمرکز غیرفعال شده‌اند.
- مشتریان On-premises: باید این افزونه‌ها را به صورت دستی غیرفعال کنند.
تأکید شده است که غیرفعال کردن افزونه‌ها به معنای حذف بدافزارهای پیش‌تر نصب شده یا مکانیسم‌های پایداری (Persistence) نیست و سازمان‌ها باید لاگ‌های احراز هویت و تاریخچه Run Command را بررسی کنند.
دامنه تأثیرات
تاکنون ۶ MSP متضرر و ۲۸۶ نقطه انتهایی در ۴۷ سازمان مختلف شناسایی شده‌اند و این تعداد در حال افزایش است. این حملات به جای بهره‌برداری از یک آسیب‌پذیری نرم‌افزاری، بر پایه سوءاستفاده از قابلیت‌های قانونی (Legitimate Functionality) و ابزارهای سفارشی است که در برخی موارد به صورت لحظه‌ای روی سیستم قربانی کامپایل می‌شوند.
شاخص‌های شناسایی (IOCs)
برخی از زیرساخت‌های شناسایی شده عبارتند از:
- Attacker relay: 185.99.255[.]28
- C2 domains: newnewnew.gotdns[.]org, soxnewwork.homedns[.]org
- Secondary C2: sc.payproofkit[.]com
- Rogue Client IDs: 2588ef5c15954b10, ed630cc2c873b091
تحلیل پیشینه حملات
شواهد نشان می‌دهد که برخی از شناسه‌های کلاینت‌های جعلی در ماه‌های گذشته نیز در اسکریپت‌های مخرب مشاهده شده‌اند. این موضوع احتمالاً به یک کمپین گسترده‌تر اشاره دارد که در سال ۲۰۲۶ با استفاده از نرم‌افزارهای مدیریت و نظارت از راه دور (RMM) به عنوان Payload اولیه اجرا شده است.
