کمیته رکن چهارم– پژوهشگران Huntress از حملاتی در ۱۱ نوامبر ۲۰۲۶ خبر داده‌اند که دست‌کم ۲۸۸ دستگاه در ۴۸ سازمان را درگیر کرده است. مهاجمان از محیط‌های ScreenConnect، ابزار پشتیبانی فنی از راه دور، برای نصب نسخه‌های غیرمجاز این ابزار و مجموعه مخرب SCKit استفاده کرده‌اند.
به گزارش کمیته رکن چهارم، Huntress فعالیت را به سوءاستفاده از افزونه جانبی RMM+ مرتبط می‌داند و از نقص احراز هویت در نسخه‌های ۱.۰.۳۱ و ۱.۰.۳۲ آن گزارش داده است. ConnectWise هنوز روش ورود اولیه و دامنه کامل حادثه را در دست بررسی می‌داند و می‌گوید شواهدی از نفوذ به زیرساخت خود یا نقص در خود ScreenConnect نیافته است.
ConnectWise پنج افزونه Labtech Plus، RMM Plus، RMM+، RMM Plus Password Link و RMM+ Password Link را برای غیرفعال‌سازی احتیاطی مشخص کرده است. حدود ۴۰۰ محیط دارای این افزونه‌ها شناسایی شده‌اند؛ این عدد، شمار محیط‌های تأییدشده آلوده نیست.
شرکت افزونه‌ها را هرجا امکان اقدام داشته غیرفعال کرده است؛ مدیران نسخه‌های نصب‌شده در سازمان باید خودشان این کار را انجام دهند و تا اطلاع بعدی آن‌ها را دوباره فعال نکنند.
توصیه شرکت، بررسی دستگاه مشکوک با ابزار امنیتی جداگانه و خودداری از اتصال تعاملی ScreenConnect به آن است. ثبت‌های فعالیت باید حفظ و بررسی شوند، نشست‌های فعال لغو و رمزهای مرتبط از دستگاهی مطمئن تعویض شوند. غیرفعال‌کردن افزونه به‌تنهایی دسترسی مهاجم را از دستگاه آلوده حذف نمی‌کند.
منبع: SecurityWeek
