قالت شركة Huntress في تحليل نشرته في 11 نوفمبر 2026 إن مهاجمين استخدموا لوحات إدارة ScreenConnect المستضافة سحابياً لدفع أداة خبيثة تعرف باسم SCKit إلى 288 جهازاً على الأقل في 48 مؤسسة من عملائها، خلال نحو 90 دقيقة. وقالت ConnectWise، الشركة المطورة لـ ScreenConnect، في نشرتها الأمنية إنها لم تجد دليلاً على اختراق بنيتها التحتية ولا على ثغرة في المنتج نفسه، وعطلت خمس إضافات من جهات خارجية قد تكون مرتبطة بالنشاط.
بحسب Huntress، رصد فريقها أول نشاط نحو الساعة 17:47 بالتوقيت العالمي (UTC) في 11 نوفمبر، وأصيب ثلث الأجهزة تقريباً في أول 10 دقائق. واستخدم المهاجم ميزة Run command في اللوحات لتشغيل أوامر على مجموعات من الأجهزة بصلاحيات SYSTEM، فتحقق الأمر من وجود عميل ScreenConnect، وثبت بصمت عميلاً آخر يتحكم به المهاجم، ثم أنزل حزمة SCKit المؤلفة من 16 ملفاً.
وتوضح Huntress أن الحزمة توقف عميل ScreenConnect الأصلي وتضع نسخة المهاجم مكانه على خادم الترحيل عبر مهمة مجدولة باسم TrapWatch، فيبدو الجهاز طبيعياً، وتضيف استثناءات في Microsoft Defender. وترى الشركة أن شيفرة أداة RelayTrap التي تعمل بها الحزمة تبدو مكتوبة بنموذج لغوي، بالنظر إلى تعليقاتها المفصلة.
أبرز أخبار الأمن السيبراني في السعودية والعالم، كل أسبوع في بريدك.
وبحسب النشرة، حددت ConnectWise نحو 400 بيئة شريكة فيها إضافة واحدة على الأقل من الإضافات الخمس، وهي Labtech Plus وRMM Plus وRMM+ وRMM Plus Password Link وRMM+ Password Link، وعطلتها حيث تستطيع. ونظراً لتعذر تعطيلها في الخوادم المحلية، نصحت الشركة أصحابها بتعطيلها فوراً وعدم إعادة تفعيلها أو تثبيتها حتى صدور توجيه جديد. وتقول إن وجود الإضافة وحده لا يثبت الاختراق، وإن السبب والنطاق قيد التحقيق.
من جانبها، أفادت Sophos في تقريرها بنشاط مماثل: عمليات نشر غير مصرح بها لعملاء ScreenConnect، وثلاث نسخ يرجح اختراقها استعملت لتشغيل أوامر ونشر نسختين خبيثتين، من دون أن تحدد كيف دخل المهاجمون.
وتوصي Huntress بعدم الاتصال بالأجهزة المشتبه بها عبر ScreenConnect، واستخدام أدوات بديلة مثل الاستجابة المباشرة في أنظمة EDR أو WinRM، وبعزل الأجهزة المصابة، إذ رصدت إعادة إصابة أجهزة بعد رفع العزل. كما توصي بمراجعة سجل Run Command والصندوق المشترك، وإنهاء جلسات الويب النشطة، وتغيير بيانات الاعتماد. وكانت Huntress قد تعاملت في سبتمبر 2026 مع نشاط مشابه لعملاء ScreenConnect خبيثة تشبه الدودة.
