קמפיין תולעת דרך לקוחות ScreenConnect נגועים מפיץ נוזקה רב-שלבית

חוקרי חברת Huntress חשפו קמפיין תקיפה שמנצל תוכנת הניהול מרחוק ConnectWise ScreenConnect כדי להתפשט כמו תולעת: לקוח ScreenConnect שנפרץ מריץ שרשרת נוזקה בת ארבעה שלבים, וכל פעם שהמחשב הנגוע מתחבר למחשב חדש דרך הכלי — הוא מדביק גם אותו.

רשת צמתים מחוברים כשאחד נגוע ומפיץ קווים אדומים זוהרים לצמתים סמוכים

הפרטים

מדובר בשלוש תקריות נפרדות שתועדו באוגוסט 2026, שכל אחת החלה בווקטור כניסה שונה: הנדסה חברתית דרך תמיכה טכנית מדומה ב-Quick Assist, קובץ התקנה זדוני (ScreenConnect.ClientSetup.msi) שהופץ בפישינג, וטופס החזר כספי מזויף בשם Geek Squad. בכל המקרים התוצאה זהה: שרשרת של ארבעה סקריפטי VBScript שמבצעת סיור ראשוני במחשב (בדיקת זיכרון, זיהוי תוכנות אבטחה מותקנות), מורידה מטענים מוצפנים מ-Dropbox בהתאם למצב שזוהה, ולבסוף מריצה תסריט PowerShell שמפענח ומפעיל את המטען הסופי.

בהתאם לתנאי המחשב הנגוע, המטען הסופי משתנה: לעיתים דלת אחורית ברמת משתמש דרך ScreenConnect עצמו, לעיתים כלים לעקיפת UAC ומנגנוני התמדה, ובמקרים מסוימים גם כלי מנהור (tunneling) וכורה מטבעות קריפטו מסוג XMRig שמנטרל את Microsoft Defender. החוקרים לא ייחסו את הקמפיין לקבוצת תקיפה מוכרת.

נקודות לשים לב

זה נוגע בעיקר לארגונים וספקי IT שמשתמשים ב-ScreenConnect לתמיכה מרחוק — במיוחד אם קליינטים הותקנו דרך ערוצים לא רשמיים או פישינג.
אם מזוהה לקוח ScreenConnect חשוד, פנו להנחיית ConnectWise: נטרלו הרשאות העברת קבצים (TransferFiles / TransferFilesInSession) תחת Administration → Security → Roles עבור כל קבוצות ה-Session.
לפי Huntress, במחשבים שאובחנו כנגועים ההמלצה היא הדמיה מחדש מלאה (re-imaging) ממדיה נקייה — לא ניקוי חלקי.
חפשו ביומני הרישום (לוגים) קבצים בשמות 1.vbs עד 4.vbs ו-value.txt, map.txt, out.enc בתיקיית %TEMP%, וכן תעבורה יוצאת ל-Dropbox ממחשבים שלא אמורים לגשת אליו.
ההתקנה הראשונית מגיעה כמעט תמיד דרך הנדסה חברתית ולא דרך פגיעות טכנית ב-ScreenConnect עצמו — הדרכת עובדים לזהות בקשות תמיכה טכנית חשודות היא ההגנה האפקטיבית ביותר כאן.