सुरक्षा12 नव॰ 2026, 4:17 pm UTC·2 मिनट में पढ़ें

ScreenConnect RMM+ प्लगइन की खामी से 288 PC पर मैलवेयर

हमलावरों ने ScreenConnect के थर्ड-पार्टी एक्सटेंशन से 90 मिनट में 288 मशीनों पर मैलवेयर डाला। ConnectWise ने करीब 400 एनवायरमेंट में पाँच प्लगइन बंद किए हैं।

An IT technician's workstation showing a remote support console with a red security warning over a list of infected computers. — छवि: theregister

ScreenConnect के एक थर्ड-पार्टी एक्सटेंशन का इस्तेमाल करके हैकरों ने सिर्फ 90 मिनट में 288 कंप्यूटरों पर मैलवेयर पहुँचा दिया। ये मशीनें 48 संगठनों की थीं। इसके बाद ConnectWise ने सैकड़ों ग्राहकों के एनवायरमेंट में पाँच प्लगइन बंद कर दिए हैं।

सिक्योरिटी कंपनी Huntress ने बुधवार को Reddit पर इस अभियान की चेतावनी दी। हमला करीब 1747 UTC पर शुरू हुआ, जब किसी ने ScreenConnect के रिमोट कमांड फीचर से कई IT सर्विस प्रोवाइडर की मशीनों पर गलत क्लाइंट इंस्टॉल करने शुरू किए। करीब एक तिहाई मशीनें पहले दस मिनट में ही निशाना बनीं। Huntress को शक है कि और MSP (मैनेज्ड सर्विस प्रोवाइडर) भी प्रभावित हो सकते हैं।

ScreenConnect RMM+ प्लगइन में क्या खामी है?

RMM+ एक थर्ड-पार्टी एक्सटेंशन है, जिससे दूसरे मैनेजमेंट टूल बिना ScreenConnect कंसोल के कमांड भेज सकते हैं। इसके वर्जन 1.0.31 और 1.0.32 में खामी है: जिन इंस्टॉलेशन में एक्सेस की कॉन्फ़िगर नहीं है, वे खाली की स्वीकार कर लेते हैं। चूँकि RMM+ ScreenConnect के सामान्य यूज़र अकाउंट और ऑथेंटिकेशन से अलग काम करता है, हमलावर MFA तोड़े बिना कमांड चला सकता है। Huntress के मुताबिक कई इंस्टॉलेशन में बिना किसी लॉगिन के कमांड पहुँचे। हमले ScreenConnect के वर्जन 26.6.6.9747 और 26.7.6.9783 पर भी हुए, यानी नवीनतम रिलीज़ चलाना काफ़ी नहीं था।

SCKit मैलवेयर क्या करता है?

हमलावरों ने 16 फ़ाइलों का टूलकिट SCKit लगाया। यह अलग ScreenConnect क्लाइंट इंस्टॉल करता है, ताकि असली कनेक्शन बंद होने पर भी रिमोट एक्सेस बना रहे। इसमें जाँच करने आए टेक्नीशियन के लिए जाल भी है: वह ScreenConnect से जुड़े तो टूलकिट उसकी वर्कस्टेशन पर मैलवेयर भेजने, ऑथेंटिकेशन कुकी चुराने और दूसरी मशीनें संक्रमित करने की कोशिश करता है। Huntress ने कहा कि यह तरीका अब तक सफल होता नहीं दिखा। उसे यह भी शक है कि कुछ C# कोड LLM से बना है।

ConnectWise के अनुसार करीब 400 इंस्टॉलेशन में RMM+ परिवार का कम से कम एक एक्सटेंशन मिला। RMM+, RMM Plus और Labtech Plus समेत पाँच एक्सटेंशन जहाँ संभव हुआ, दूर से बंद किए गए। कंपनी ने कहा कि ये 400 एनवायरमेंट एक्सटेंशन होने की वजह से चिह्नित हुए, ज़रूरी नहीं कि सभी हैक हुए हों। उसे ConnectWise के इंफ्रास्ट्रक्चर या ScreenConnect में खामी का सबूत नहीं मिला।

प्रशासकों को क्या करना चाहिए?

संदिग्ध मशीनों की जाँच ScreenConnect से रिमोट कनेक्ट करके न करें। दूसरे सुरक्षा टूल इस्तेमाल करें, फ़र्ज़ी ScreenConnect क्लाइंट खोजें और चलाए गए कमांड देखें। सिर्फ एक्सटेंशन बंद करना या पासवर्ड रीसेट करना काफ़ी नहीं है। Huntress के अनुसार कुछ मशीनें आइसोलेशन से निकलने के कुछ मिनट में दोबारा संक्रमित हो गईं।