ثغرة إضافة RMM+ في ScreenConnect تصيب 288 جهازًا في 90 دقيقة

ثبّت المهاجمون حزمة من 16 ملفًا تُدعى SCKit. تضيف الحزمة عميل ScreenConnect منفصلًا يُبقي الوصول قائمًا حتى لو أُغلق الاتصال الشرعي. وتحتوي أيضًا على شيفرة تهدف إلى نقل العدوى إلى فنيي تقنية المعلومات وإلى عملاء آخرين يديرونهم. وتشتبه Huntress في أن جزءًا من شيفرة C# كُتب بمساعدة نموذج لغوي، بسبب التعليقات المفصلة على غير العادة.

ما هي ثغرة RMM+؟

RMM+ إضافة من جهة خارجية تتيح لأدوات إدارة أخرى إرسال أوامر عبر ScreenConnect دون استخدام لوحة تحكم الفني. في الإصدارين 1.0.31 و1.0.32 خلل يجعل التثبيتات التي لم يُضبط لها مفتاح وصول تقبل مفتاحًا فارغًا. ولأن RMM+ يعمل بمعزل عن حسابات ScreenConnect العادية وضوابط المصادقة فيه، يمكن للمهاجم تنفيذ أوامر دون تجاوز MFA. ورصدت Huntress أوامر وصلت إلى أجهزة دون أي نشاط تسجيل دخول مقابل. وشمل الهجوم إصداري ScreenConnect 26.6.6.9747 و26.7.6.9783، ما يعني أن أحدث الإصدارات لم تكن آمنة بالضرورة.

ماذا فعلت ConnectWise؟

عطّلت الشركة خمس إضافات، منها RMM+ وRMM Plus وLabtech Plus، أينما استطاعت ذلك عن بُعد. وحددت نحو 400 تثبيت يحتوي على إضافة واحدة على الأقل من عائلة RMM+، لكنها تؤكد أن ذلك لا يعني اختراقها جميعًا. وطلبت من العملاء الذين يشغّلون خوادمهم الخاصة أن يفعلوا الأمر نفسه. وتقول ConnectWise إنها لم تجد دليلًا على اختراق بنيتها التحتية أو على ثغرة في ScreenConnect نفسه.

وفي البرمجية الخبيثة فخ للفني أيضًا: إذا اتصل عبر ScreenConnect، تحاول نقل البرمجية إلى محطة عمله وسرقة ملفات تعريف الارتباط الخاصة بالمصادقة وإصابة أجهزة أخرى. لكن Huntress لم تر هذه الطريقة تنجح. وتنصح الشركتان بعدم فحص الأجهزة المشتبه بها عن بُعد عبر ScreenConnect، واستخدام أدوات أمنية أخرى، والبحث عن عملاء غير مصرح بهم ومراجعة الأوامر المنفذة. ويجب حذف أي برمجية متبقية، إذ أُعيدت إصابة بعض الأجهزة خلال دقائق من إخراجها من العزل. وقد لا يكفي تعطيل الإضافات وإعادة تعيين كلمات المرور وحدهما.