تستهدف حملة برمجيات خبيثة نشطة مقدمي الخدمات المدارة (MSPs) من خلال بيئات ScreenConnect المخترقة، كما أفادت شركة الأمن السيبراني Huntress في 11 نوفمبر 2026. وقد أثرت الحملة على ستة مقدمي خدمات مدارة و286 نقطة نهاية عبر 47 منظمة.
يُقال إن المهاجمين يستخدمون وظيفة Run Command في ScreenConnect لنشر عملاء ضارين على النقاط النهائية المدارة. يبدو أن هذا النشاط يستغل الوظائف الشرعية بدلاً من استغلال ثغرة في البرمجيات، وفقًا لـ Huntress.
اتخذت ConnectWise تدابير احترازية بتعطيل خمس إضافات ScreenConnect تابعة لجهات خارجية عبر حوالي 400 بيئة شريكة. ومع ذلك، تحذر الشركة من أن هذا الإجراء لا يزيل أي برمجيات خبيثة أو وصول غير مصرح به قد يكون موجودًا بالفعل.
لم تحدد Huntress بعد طريقة الوصول التي استخدمها المهاجمون، لكنها تقترح أن بيانات اعتماد مخترقة أو جلسات مشغل مختطفة قد تكون متورطة. تم مشاركة مؤشرات الاختراق (IOCs) لمساعدة المنظمات في تحديد النشاط الضار.
أكدت ConnectWise الوصول غير المصرح به إلى حسابات الشركاء وتثبيت برمجيات الوصول عن بُعد غير المصرح بها. تنصح الشركة بأن تعطيل الإضافات وحده غير كافٍ لمعالجة التهديد.