অননুমোদিত অ্যাক্সেসের রিপোর্টের পর ConnectWise অংশীদার পরিবেশে পাঁচটি তৃতীয় পক্ষের এক্সটেনশন নিষ্ক্রিয় করার সতর্কতামূলক পদক্ষেপ নিয়েছে।
তার সাইটে পোস্ট করা একটি পরামর্শে, সংস্থাটি বলেছে যে এই ঘটনার সাথে তার অবকাঠামোর একটি আপস বা ScreenConnect সফ্টওয়্যারে একটি দুর্বলতা জড়িত এমন কোন প্রমাণ নেই।
"আমাদের প্রাথমিক মূল্যায়ন পরামর্শ দেয় যে কার্যকলাপটি অংশীদার পরিবেশে ইনস্টল করা স্বাধীন তৃতীয় পক্ষের এক্সটেনশনগুলির একটি হুমকি অভিনেতার অপব্যবহারের সাথে জড়িত হতে পারে," এটি বলে। "আমরা এই মূল্যায়নকে যাচাই করে চলেছি। প্রাথমিক অ্যাক্সেসের পদ্ধতি এবং সম্পূর্ণ সুযোগ তদন্তাধীন রয়েছে।"
ConnectWise প্রায় 400টি অংশীদার পরিবেশ চিহ্নিত করেছে যার মধ্যে অন্তত একটি তৃতীয় পক্ষের এক্সটেনশন ইনস্টল করা আছে। এটি আরও জোর দিয়েছিল যে একা এক্সটেনশনের উপস্থিতি বোঝায় না বা আপস প্রতিষ্ঠা করে না।
যদিও এই এক্সটেনশনগুলি একটি API প্রদান করে যা দূরবর্তী কমান্ডগুলি কার্যকর করতে সক্ষম, সেই API-তে অ্যাক্সেস সেটআপের সময় অংশীদার দ্বারা কনফিগার করা একটি পাসফ্রেজ দ্বারা সুরক্ষিত হয়, এটি যোগ করেছে। সতর্কতামূলক অক্ষম করার জন্য চিহ্নিত এক্সটেনশনগুলির তালিকা নীচে রয়েছে -
ল্যাবটেক প্লাস
আরএমএম প্লাস
আরএমএম+
আরএমএম প্লাস পাসওয়ার্ড লিঙ্ক
RMM+ পাসওয়ার্ড লিঙ্ক
ConnectWise আরও বলেছে যে এটি অন-প্রিমিসেস অংশীদারদের এক্সটেনশনগুলি নিষ্ক্রিয় করার জন্য অনুরোধ করেছে, এবং নিরাপত্তা নিয়ন্ত্রণগুলি চলছে তা নিশ্চিত করার জন্য, সন্দেহজনক কার্যকলাপের লগগুলি সংরক্ষণ করতে এবং এর জন্য সতর্ক থাকার জন্য সমস্ত অংশীদারদের সুপারিশ করছে -
অস্বাভাবিক সাইন-ইন, অপরিচিত অবস্থান, বারবার লগইন ব্যর্থতা এবং অপ্রত্যাশিত মাল্টি-ফ্যাক্টর প্রমাণীকরণ (MFA) প্রম্পট
নতুন প্রশাসক অ্যাকাউন্ট বা ব্যবহারকারীর অনুমতি পরিবর্তন
অপ্রত্যাশিত এক্সটেনশন ইনস্টলেশন, দূরবর্তী কমান্ড, এবং টুলবক্স কার্যকলাপ
গ্রাহকের ডিভাইস এবং টেকনিশিয়ান ওয়ার্কস্টেশনে অননুমোদিত রিমোট-অ্যাক্সেস সফ্টওয়্যার
একটি বিশ্বস্ত চ্যানেলের মাধ্যমে অপ্রত্যাশিত সমর্থন অনুরোধ, পাসওয়ার্ড-রিসেট বার্তা এবং সফ্টওয়্যার ডাউনলোড
কোম্পানী নিম্নোক্ত সমঝোতার সূচক শেয়ার করেছে (IoCs)-
আইপি ঠিকানা:
185.99.255[.]28
155.94.150[.]39
ডোমেন এবং URL:
ns[.]mo7sen[.]dev
ns[.]mo7sen[.]dev/EadF.php?p=4
sc[.]পেপ্রুফকিট[.]com
cdn007-ডিজিটাল ডাউনলোড[.]com
newnewnew[.]gotdns[.]org
সক্সনিউওয়ার্ক[.]হোমেনস[.]অর্গ
নিদর্শন:
sckit-run.bat
sckit-decoder.ps1
TrapWatch.ps1
প্যানেল-পার্শ্বিক.ps1
রান-ল্যাটারাল-ফুল.ব্যাট
runnew.cmd
ToolboxRelayUploader.exe
Sqlite3.exe
সাইবারসিকিউরিটি কোম্পানি হান্ট্রেস, যেটি ক্রিয়াকলাপটিও ট্র্যাক করছে, বলেছে যে এটি আক্রমণকারীরা 48টি প্রতিষ্ঠানে কমপক্ষে 288টি পরিচালিত এন্ডপয়েন্টে দুর্বৃত্ত স্ক্রিনকানেক্ট ক্লায়েন্টদের ইনস্টল করার লক্ষ্যে রান কমান্ড পুশ করার জন্য ক্লাউড-হোস্টেড স্ক্রিনকানেক্ট প্যানেলে অ্যাক্সেস ব্যবহার করে দেখেছে। 11 নভেম্বর, 2026-এ প্রথম ইউটিসি বিকাল 5:47-এ কার্যকলাপটি সনাক্ত করা হয়েছিল।
হান্ট্রেস দ্য হ্যাকার নিউজকে বলেছে যে এটি একটি নতুন দুর্বলতার প্রমাণ দেখেনি, তবে আক্রমণকারী প্যানেল অ্যাক্সেস পেয়েছিল সেই সঠিক পদ্ধতিটি অস্পষ্ট রয়ে গেছে তা উল্লেখ করেছে। বর্তমান টেলিমেট্রি প্রাথমিক অ্যাক্সেস পেতে আপোসকৃত শংসাপত্র বা হাইজ্যাক করা অপারেটর সেশনের দিকে নির্দেশ করে, এটি বলেছে।
সামগ্রিক আক্রমণ একটি দুই-পদক্ষেপ প্রক্রিয়া ব্যবহার করে একটি কৃমির মতো ফ্যাশনে প্রকাশ পায় -
প্রাথমিক অ্যাক্সেস: আক্রমণকারীরা শেষপয়েন্ট জুড়ে একটি দুর্বৃত্ত ScreenClient ক্লায়েন্ট স্থাপন করতে একটি আপস করা ScreenConnect প্যানেলের রান কমান্ড বৈশিষ্ট্য ব্যবহার করে, একটি স্থায়ী ব্যাকডোর তৈরি করে যা আর মূল প্যানেলের উপর নির্ভর করে না।
পার্শ্বীয় আন্দোলন: যখন একজন প্রযুক্তিবিদ স্ক্রিনকানেক্টের মাধ্যমে একটি সংক্রামিত এন্ডপয়েন্টের সাথে সংযোগ করেন, তখন ম্যালওয়্যারটি তাদের ওয়ার্কস্টেশনে ফিরে যেতে পারে, সংরক্ষিত ব্রাউজার সেশন এবং প্রমাণীকরণ টোকেন চুরি করতে পারে এবং প্রযুক্তিবিদদের অ্যাক্সেস আছে এমন অন্যান্য স্ক্রিনকানেক্ট প্যানেলে পিভট করতে পারে।
"দুর্বৃত্ত ক্লায়েন্টরা SCKit প্রদান করে, একটি কাস্টম দূষিত টুলকিট যা ক্রমাগত দূরবর্তী অ্যাক্সেস স্থাপন করে এবং সেশন কুকিজকে আটকানোর জন্য একটি রিলে ফাঁদ তৈরি করে," হান্ট্রেস গবেষক বেন নাহর্নি এবং সুসান্নাহ ম্যাট বলেছেন।
"সংক্রমণের পথটি দুটি পর্যায়ে কাজ করে: একটি সংক্রামিত প্রান্ত থেকে একজন প্রযুক্তিবিদ যে এটির সাথে সংযোগ করে এবং একজন প্রযুক্তিবিদ এর ওয়ার্কস্টেশন থেকে প্রতিটি শেষ পয়েন্ট পর্যন্ত তাদের প্যানেল সংযোগ করতে পারে৷ তবে, সমস্ত কার্যকারিতা পরিলক্ষিত ঘটনার সময় দেখা যায়নি; পেলোড বিশ্লেষণের মাধ্যমে কিছু কার্যকারিতা আবিষ্কৃত হয়েছে।"
SCKit একটি এনক্রিপ্ট করা পেলোড হিসাবে এবং একটি Base64-এনকোডেড ড্রপার ("sckit-run.bat") এর মাধ্যমে বিতরণ করা হয়, যা একটি PowerShell পেলোড ("sckit-decoder.ps1") আনার জন্য একটি দূরবর্তী সার্ভারের সাথে যোগাযোগ করে যা টুলকিটটি চালু করার জন্য দায়ী৷
ম্যালওয়্যারের অন্যান্য উপাদানগুলি মাইক্রোসফ্ট ডিফেন্ডার এক্সক্লুশন যোগ করার জন্য, দ্বিতীয় আক্রমণকারী-নিয়ন্ত্রিত স্ক্রিনকানেক্ট ক্লায়েন্ট ইনস্টল করার জন্য, "ট্র্যাপওয়াচ" নামে একটি নির্ধারিত কাজ তৈরি করতে এবং একটি আক্রমণকারী-নিয়ন্ত্রিত অনুলিপি দিয়ে বৈধ স্ক্রিনকানেক্ট ইনস্টলেশন প্রতিস্থাপন করার জন্য ডিজাইন করা হয়েছে।
এমন লক্ষণ রয়েছে যে স্ক্রিপ্টগুলির মধ্যে অন্তত একটি একটি বৃহৎ ভাষা মডেল (LLM) দ্বারা তৈরি করা হয়েছে বিশদ উত্স কোড রেফারেন্স এবং মন্তব্যগুলির উপর ভিত্তি করে যা এর কার্যকারিতা ব্যাখ্যা করে।
"আমরা যা পর্যবেক্ষণ করেছি তার বাইরে গিয়ে, আমরা প্রযুক্তিবিদদের ওয়ার্কস্টেশন থেকে স্ক্রিনকানেক্ট প্যানেলে ছড়িয়ে দেওয়ার উদ্দেশ্যে একটি অতিরিক্ত কার্যকারিতা পুনর্গঠন করেছি," হান্ট্রেস বলেছেন। "এটি এর স্ক্রিপ্ট, কনফিগারেশন এবং সরঞ্জামগুলির বিশ্লেষণ থেকে আবিষ্কৃত হয়েছে। আজ পর্যন্ত আমরা একটি সংক্রামিত প্রান্ত থেকে একটি প্রযুক্তিবিদ ওয়ার্কস্টেশনে বা সেই ওয়ার্কস্টেশন থেকে অন্য প্রান্তে সফলভাবে লাফানো লক্ষ্য করিনি।"
এটি একটি ড্রপার ("Run-Lateral-Full.bat") আনার জন্য সংযোগের অপব্যবহার জড়িত, যা তারপর একটি লোডার ডাউনলোড করতে একটি বাহ্যিক সার্ভারের ("ns.mo7sen[.]dev") সাথে সংযোগ করে যা ওয়ার্কস্টেশনের অনন্য আইডি সংগ্রহ করে, এটি আক্রমণকারীকে ফেরত পাঠায়, এবং নির্দিষ্ট এনক্রিপ্ট করা কাজের জন্য একটি উপযোগী করা এনক্রিপ্ট ফেরত দেয়।
"Panel-Lateral.ps1", যা "LabConfig.ps1" এর সাথে একত্রে, ওয়ার্কস্টেশন থেকে .aspxauth সেশন কুকি চুরি করে এবং প্যানেলের বিপরীতে কুকি পুনরায় চালানোর চেষ্টা করে এবং প্রযুক্তিবিদ অ্যাক্সেস করতে পারে এমন অন্য কোনো সেশন গণনা করার জন্য প্রয়োজনীয় টোকেনগুলি পান৷
"ToolboxRelayUploader.exe," যা প্যানেলের শেয়ার্ড টুলবক্সে একটি পেলোড, "WithUninstall.ps1" আপলোড করার জন্য অন্য কোনো সেশনে প্রাপ্ত অ্যাক্সেসের সুবিধা দেয়।
"একটি প্যানেল অনুরোধ টুলবক্স আইটেম চালানোর জন্য প্রতিটি পৌঁছানো সেশনকে বলে," হান্ট্রেস বলেছেন। "এই পেলোডটি সেই শেষ পয়েন্টগুলিতে সিস্টেম হিসাবে চালানোর জন্য ডিজাইন করা হয়েছে, ফাঁদ ইনস্টল করে এবং চক্রকে প্রসারিত করে৷ সম্প্রচারের প্রায় 60 সেকেন্ড পরে, ToolboxRelayUploader.exe শেয়ার করা টুলবক্স আইটেমটিকে মুছে দেয়৷"
উদ্বেগ যোগ করার জন্য, হুমকি অভিনেতা প্রতিটি আপস করা পরিচালিত পরিষেবা প্রদানকারীকে (এমএসপি) একটি ক্রমিক নম্বর দিয়ে ট্যাগ করতে দেখা গেছে। হান্ট্রেস বলেছেন যে ট্যাগগুলি এটি পর্যবেক্ষণ করেছে সেগুলি অনুক্রমের মধ্য দিয়ে আংশিকভাবে শুরু হয়েছে, যা ইঙ্গিত করে যে অন্যান্য এমএসপিগুলি আগে আপস করা হয়েছে। ScreenConnect ব্যবহারকারীদের সতর্কতা না পেলেও তাদের রান কমান্ডের ইতিহাস চেক করার পরামর্শ দেওয়া হয়।
একটি পৃথক সতর্কতায়, সোফোস বলেছে যে এটি একই পদ্ধতি অনুসরণ করে অননুমোদিত স্ক্রিনকানেক্ট ক্লায়েন্ট স্থাপনাও পর্যবেক্ষণ করেছে। কার্যকলাপটি তিনটি ScreenConnect ইনস্ট্যান্স আইডি থেকে উদ্ভূত হয়েছে -
d905b2b1b165d0a9
4b8f4089ddaac6a9
df1f7ef0cfacd0d8
সন্দেহ করা হচ্ছে যে এগুলি আপোসকৃত দৃষ্টান্ত যা কমান্ড কার্যকর করতে এবং অতিরিক্ত দূষিত দৃষ্টান্ত স্থাপন করতে ব্যবহৃত হচ্ছে, যার আইডি নীচে রয়েছে -
2588ef5c15954b10
ed630cc2c873b091
"Curl.exe 185.99.255[.]28 থেকে C:\Windows\TEMP\sc.msi থেকে ScreenConnect.ClientSetup.msi ডাউনলোড করেছে," সোফোস ব্যাখ্যা করেছেন। "একটি ScreenConnect-জেনারেটেড কমান্ড ফাইল তারপর ক্লায়েন্টকে নিঃশব্দে ইনস্টল করার জন্য msiexec.exe চালু করে৷ গবেষকরা ns[.]mo7sen[.]dev?/EadF থেকে একটি দ্বিতীয়-পর্যায়ের স্ক্রিপ্ট পুনরুদ্ধার করতে ScreenConnect স্ক্রিপ্টগুলি ব্যাচ ফাইল স্টেজিং এবং এক্সিকিউশন-পলিসি বাইপাস সহ PowerShell ব্যবহার করে দেখেছেন৷"
(এটি একটি উন্নয়নশীল গল্প। আরো বিস্তারিত জানার জন্য অনুগ্রহ করে আবার চেক করুন।)
