ابزار مخرب جدیدی با نام SCKit در حملات اخیر به پلتفرم ScreenConnect شناسایی شده است که مستقیماً ارائه‌دهندگان خدمات مدیریت‌شده (MSPs) را هدف قرار می‌دهد. این ابزار با طراحی ساختاری مشابه کرم‌ها (Worm-like)، تلاش می‌کند از دستگاه‌های آلوده مشتریان به کامپیوتر تکنسین‌های MSP نفوذ کرده و شبکه‌های تحت مدیریت بیشتری را در معرض خطر قرار دهد.
نحوه نفوذ و بهره‌برداری
تحقیقات نشان می‌دهد که مهاجمان از طریق افزونه RMM+ (نسخه‌های 1.0.31 و 1.0.32) که یک افزونه شخص ثالث برای ScreenConnect است، دسترسی اولیه را به دست می‌آورند. این افزونه دارای یک نقص در احراز هویت (Authentication flaw) است که به مهاجم اجازه می‌دهد بدون نیاز به رمز عبور یا تکمیل احراز هویت چندعاملی (MFA)، دستورات خود را اجرا کند. این نقص زمانی رخ می‌دهد که مدیر سیستم، کلید دسترسی (Access key) را در تنظیمات خالی باقی گذاشته باشد.
مکانیسم انتشار: تکنیک RelayTrap
یکی از ویژگی‌های نوآورانه SCKit، استفاده از مؤلفه‌ای به نام RelayTrap است. این مؤلفه فرآیند قانونی Guest در ScreenConnect را جایگزین کرده و منتظر می‌ماند تا یک تکنسین MSP برای پشتیبانی متصل شود. برخلاف حالت عادی که تکنسین فایل‌ها را به سمت مشتری می‌فرستد، این بدافزار تلاش می‌کند از طریق آسیب‌پذیری CVE-2026-84869، فایل مخرب خود را از سمت مشتری به سمت سیستم تکنسین ارسال و اجرا کند. اگرچه آزمایش‌ها نشان داده‌اند که در نسخه‌های پچ شده، این اکسپلویت با شکست مواجه می‌شود، اما پتانسیل خطرناک آن همچنان پابرجاست.
- TrapWatch: نظارت بر سرویس‌های ScreenConnect برای آماده‌سازی فرآیند جایگزین جهت رهگیری نشست‌های پشتیبانی.
- سرقت کوکی‌ها: تلاش برای سرقت کوکی‌های احراز هویت (Authentication cookies) از مرورگرها جهت جعل نشست‌های مدیریتی (Session hijacking) بدون نیاز به رمز عبور.
- کدنویسی مبتنی بر هوش مصنوعی: تحلیل‌های فنی نشان می‌دهند که بخش‌هایی از کد منبع این ابزار احتمالاً توسط مدل‌های زبانی بزرگ (LLM) تولید شده‌اند.
توصیه‌های امنیتی برای SOC و مدیران IT
برای مقابله با این تهدید و جلوگیری از سرایت در شبکه، اقدامات زیر ضروری است:
- غیرفعال کردن افزونه‌های شخص ثالث مرتبط با ScreenConnect (مانند RMM+).
- به‌روزرسانی فوری کلاینت‌های ScreenConnect به آخرین نسخه پچ شده.
- بررسی دقیق فعالیت‌های Run Command و Toolbox برای شناسایی دستورات یا ابزارهای غیرمجاز.
- اجتناب از برقراری نشست‌های تعاملی (Interactive sessions) با نقاط انتهایی (Endpoints) مشکوک و استفاده از ابزارهای امنیتی مجزا برای بررسی آن‌ها.
