بهره‌برداری از آسیب‌پذیری بحرانی SimpleHelp برای استقرار بدافزار سارق جدید

هکرها با بهره‌برداری از یک آسیب‌پذیری بحرانی تازه‌افشاشده در پلتفرم SimpleHelp (با شناسه CVE-2026-48558)، بدافزار جدید و پیش‌تر مستندنشده‌ای به نام «Djinn Stealer» را منتشر می‌کنند. این بدافزار چندسکویی (cross-platform) قادر است اطلاعات حساس را از سیستم‌های ویندوز، macOS و لینوکس سرقت کند. پلتفرم SimpleHelp عمدتاً توسط ارائه‌دهندگان خدمات مدیریت‌شده (MSP)، بخش‌های فناوری اطلاعات و مدیران سیستم برای نظارت و مدیریت از راه دور (RMM) استفاده می‌شود. بر اساس تحقیقات شرکت Blackpoint، مهاجم با دور زدن احراز هویت، یک نشست فنی معتبر روی سرور SimpleHelp ایجاد کرده و سپس بارگذار بدافزاری TaskWeaver و Djinn Stealer را مستقر کرده است. در زمان افشای این آسیب‌پذیری، حدود ۱٬۰۰۰ سرور SimpleHelp در معرض اینترنت با پیکربندی آسیب‌پذیر شناسایی شده بودند.

Djinn Stealer با تمرکز ویژه بر ابزارهای توسعه هوش مصنوعی (AI development tools)، طیف گسترده‌ای از اطلاعات حساس را هدف قرار می‌دهد؛ از جمله اعتبارنامه‌های ارائه‌دهندگان ابری، کلیدهای SSH، تنظیمات Git و GitHub CLI، ابزارهای زیرساخت به‌عنوان کد (Infrastructure-as-Code) مانند Terraform، توکن‌های احراز هویت دستیارهای کدنویسی هوش مصنوعی نظیر Claude و Gemini، کیف‌پول‌های ارز دیجیتال و داده‌های مرورگر. پیش از ارسال داده‌ها به سرور فرمان‌ودهی (C2)، بدافزار اطلاعات را در قالب آرشیو TAR فشرده و با رمزنگاری AES-256-GCM محافظت‌شده توسط کلید عمومی RSA-2048 رمزگذاری می‌کند. محققان Blackpoint هشدار می‌دهند که سرقت توکن‌های پروتکل زمینه مدل (Model Context Protocol / MCP) می‌تواند به مهاجمان دسترسی به مخازن کد، پایگاه‌های داده و APIهای ابری را اعطا کند. به مدیران سیستم توصیه اکید می‌شود که نمونه‌های SimpleHelp را فوری به‌روزرسانی کرده و تمامی اعتبارنامه‌ها و کلیدهای API را در صورت نفوذ تعویض نمایند.