مصدر الخبر:
https://thehackernews.com (نُشر في 7 سبتمبر 2026)

كشف باحثو Huntress عن نشاط يشبه الدودة يستغل منصة ConnectWise ScreenConnect لنشر سلسلة VBScript خبيثة من أربع مراحل إلى الأنظمة المتصلة حديثاً. تم رصد ثلاث حوادث منفصلة في أغسطس 2026 استخدمت طرق وصول أولية متنوعة (احتيال دعم فني عبر Quick Assist، مثبت MSI عبر التصيد، ونموذج استرداد Geek Squad مزيف) لتنشيط السلسلة وتثبيت عملاء ScreenConnect مزيفين.

آلية الانتشار:
- بعد تثبيت ScreenConnect المزيف، يقوم العميل بتشغيل wscript.exe لتنفيذ أربعة سكربتات (1.vbs إلى 4.vbs).
- 1.vbs: يجمع معلومات عن النظام (الذاكرة، برامج الأمن) ويكتب حالة في %TEMP%\value.txt.
- 2.vbs: ينتظر الملف السابق ويحمّل حمولة مشفرة من Dropbox.
- 3.vbs: يحدد الحمولة المناسبة بناءً على الحالة ويحمّلها إلى %TEMP%\out.enc.
- 4.vbs: يشغل PowerShell لفك تشفير الحمولة وتنفيذها.
- الانتشار: إذا كانت الحالة 010 أو `011`، يتم نسخ السكربتات إلى `C:\Users\Public\Libraries\Default\Lib\Lib1`، مما يجعل الجهاز المصاب يرسل السلسلة إلى أي جهاز جديد يتصل به عبر ScreenConnect، مما يخلق سلوكاً دودياً.

التوصيات العاجلة من ConnectWise:
- تعطيل صلاحية نقل الملفات (TransferFiles) للمستخدمين الفنيين حتى صدور تصحيح.
- إعادة تصوير الأجهزة المصابة (Re-image) من وسائط موثوقة.

@Cybersecurity_Qannas
@cyber_sc_world
#ScreenConnect #ConnectWise #VBScript #RMM #Worm
⚠️🔓💻🛡🚨