برمجية SCKit الخبيثة تستغل ثغرة في ScreenConnect لاستهداف مزودي الخدمات المُدارة

استُخدمت مجموعة أدوات برمجية خبيثة جديدة تشبه الدودة تُدعى SCKit في هجمات حديثة استهدفت مزودي الخدمات المُدارة (MSPs) الذين يستخدمون ScreenConnect. صُممت هذه البرمجية الخبيثة لتنتشر من أجهزة العملاء المصابة إلى حواسيب فنيي مزودي الخدمات المُدارة، مما قد يؤدي إلى اختراق شبكات مُدارة إضافية.

تستخدم SCKit تقنية تشبه الدودة تستغل ثغرة في ScreenConnect جرى إصلاحها سابقاً، وتحمل المعرّف CVE-2026-84869، لتنفيذ تعليمات برمجية خبيثة على محطة عمل الفني عند اتصاله بجهاز مصاب. غير أن باحثين من Huntress وBlackpoint Cyber أفادوا بأنهم لم يرصدوا استغلالاً ناجحاً لهذه الثغرة خلال الهجمات، وأكدت Blackpoint أن الاستغلال فشل في اختبارات أُجريت ضد عميل ScreenConnect مُحدَّث.

تأتي هذه النتائج بعد هجمات واسعة النطاق على ScreenConnect جرى فيها الوصول غير المصرح به إلى بيئات مستضافة سحابياً. واستخدم المهاجمون ميزة Run Command في المنصة لتثبيت عملاء ScreenConnect للوصول عن بُعد غير المصرح به على أجهزة العملاء الطرفية.

وفقاً لتقرير محدّث من Huntress، تعرّض ما لا يقل عن 288 جهازاً طرفياً في 48 مؤسسة للاختراق، واستُهدفت جميع الأجهزة المتأثرة خلال 90 دقيقة. وأصيب نحو ثلث تلك الأنظمة خلال أول 10 دقائق.

تعتقد Huntress أن الوصول الأولي جرى عبر RMM+، وهي إضافة خارجية لـ ScreenConnect تتيح لأدوات الإدارة الخارجية التفاعل مع جلسات ScreenConnect دون استخدام وحدة تحكم الفني القياسية. ووجد الباحثون أن الإصدارين 1.0.31 و1.0.32 من RMM+ يحتويان على ثغرة في المصادقة، تُمكّن المهاجمين من تنفيذ أوامر دون مصادقة صحيحة.

يستخدم RMM+ مفتاح وصول مشتركاً للمصادقة، لكن الإصدارات المصابة سمحت ببقاء مفتاح الوصول فارغاً إذا لم يكن المسؤول قد أعدّه مسبقاً. أتاحت هذه الثغرة للمهاجمين تقديم مفتاح وصول فارغ وتجاوز فحص المصادقة في الإضافة، مما مكّنهم من إصدار أوامر عن بُعد.

وكجزء من استجابتها، عطّلت ConnectWise خمس إضافات خارجية قد تكون ذات صلة عبر نحو 400 بيئة شريكة، مؤكدة أن وجود هذه الإضافات لا يعني أن تلك البيئات قد تعرّضت للاختراق.

آلية انتشار SCKit

في تحليلين منفصلين، فحصت Huntress وBlackpoint Cyber برمجية SCKit، التي تتكون من 16 نصاً برمجياً ومكوّناً مصمماً لإنشاء وصول مستمر عن بُعد والانتشار بين الأنظمة المُدارة عبر ScreenConnect. واستعاد فريق Adversary Pursuit Group التابع لـ Blackpoint محمّل البرمجية الخبيثة من بنية تحتية يسيطر عليها المهاجمون، وفكّ تشفير المراحل اللاحقة للحصول على المحمّل الكامل ومثبّت ScreenConnect المستخدم في الهجمات.

ينشر المهاجمون عملاء ScreenConnect Access إضافيين مُهيَّئين للاتصال بخوادمهم من أجل وصول مستمر عن بُعد، حتى لو أُنهيت جلسة ScreenConnect الأصلية لمزود الخدمات المُدارة. وتكمن القدرة الفريدة لـ SCKit في محاولتها تحويل جلسة دعم عن بُعد شرعية لمزود الخدمات المُدارة إلى هجوم على الفني الذي يبدأها.

تتضمن مجموعة الأدوات مكوّناً يُدعى RelayTrap، يستبدل عملية ScreenConnect Guest الشرعية على جهاز طرفي مصاب وينتظر قيام فني من مزود الخدمات المُدارة بإنشاء اتصال تفاعلي. وبدلاً من إسقاط ملف تنفيذي مُجمَّع مسبقاً، يخزّن المهاجمون RelayTrap كملف شيفرة مصدرية بلغة C# باسم RelayTrap.cs على بنيتهم التحتية.

تُنزَّل هذه الشيفرة المصدرية إلى الأجهزة المخترقة، حيث يُجمّعها نص PowerShell محلياً إلى ملف تنفيذي. ويراقب مكوّن آخر يُدعى TrapWatch خدمات ScreenConnect ويهيّئ عملية Guest البديلة لاعتراض جلسات الدعم الواردة.

عند اتصال فني من مزود الخدمات المُدارة، يحاول RelayTrap إرسال ملف خبيث إلى محطة عمل الفني، مستغلاً CVE-2026-84869، وهي ثغرة حرجة في نقل الملفات من جانب العميل في ScreenConnect جرى إصلاحها في الإصدار 26.6.5.

عادةً ما يسمح ScreenConnect للفنيين بإرسال ملفات إلى الأجهزة الطرفية المُدارة. غير أن هذه الثغرة قد تسمح لضيف خبيث بإرسال ملف إلى الفني وتنفيذه. وتحتوي الشيفرة المصدرية المستعادة على تعليقات موسّعة تشرح وظائفها، مما يشير إلى أنها قد تكون وُلّدت باستخدام نموذج لغوي كبير.

بمجرد تشغيلها على محطة عمل الفني، تحاول مكوّنات أخرى في SCKit سرقة ملفات تعريف الارتباط (cookies) الخاصة بمصادقة ScreenConnect من متصفحات الويب، مما يمكّن المهاجمين من اختطاف جلسة الإدارة الموثّقة للفني دون الحاجة إلى بيانات اعتماده أو مواجهة تحدٍّ جديد للمصادقة متعددة العوامل (MFA).

ثم تسعى البرمجية الخبيثة إلى استخدام صلاحيات ScreenConnect الحالية للفني لاستعراض الأجهزة الطرفية المتاحة وتوزيع أوامر خبيثة عبر ميزات الإدارة الشرعية، مما ينشئ سلسلة إصابة تشبه الدودة. فقد يُصيب جهاز طرفي مخترق لعميل محطة عمل فني مزود الخدمات المُدارة، ويسرق جلسة إدارته، ويستخدم ذلك الوصول لاختراق أجهزة طرفية إضافية عبر مؤسسات عملاء أخرى.

غير أن Huntress وBlackpoint Cyber لم ترصدا نجاح هذا السلوك الشبيه بالدودة خلال الحملة الحالية. وأكد باحثو Blackpoint أن اختباراتهم ضد عميل ScreenConnect حالي أظهرت أن الإصلاح الأمني القائم منع تنفيذ الاستغلال.

يُنصح مزودو الخدمات المُدارة بتعطيل الإضافات الخارجية المتأثرة، وتحديث عملاء ScreenConnect، والتحقيق في عمليات تثبيت الوصول عن بُعد غير المصرح بها، ومراجعة نشاط Run Command وToolbox بحثاً عن علامات اختراق. ويوصي الفريقان البحثيان بتجنب جلسات ScreenConnect التفاعلية مع الأجهزة الطرفية التي يُحتمل إصابتها، واستخدام أدوات أمنية منفصلة لفحص الأنظمة بدلاً من ذلك.

المصدر: BleepingComputer