کمپین فیشینگ با استفاده از ابزارهای RMM به نام SimpleHelp و ScreenConnect بیش از ۸۰ سازمان را هدف قرار داد

یک کمپین فیشینگ (phishing) فعال با نام رمز VENOMOUS#HELPER که از حداقل آوریل ۲۰۲۵ در جریان است، بیش از ۸۰ سازمان را هدف قرار داده که اکثر آن‌ها در ایالات متحده آمریکا هستند. این کمپین که توسط شرکت امنیت سایبری Securonix شناسایی شده، از نرم‌افزارهای مشروع مدیریت و نظارت از راه دور (RMM) به نام‌های SimpleHelp و ScreenConnect برای ایجاد دسترسی پایدار به سیستم‌های قربانیان سوءاستفاده می‌کند. محققان معتقدند این عملیات با فعالیت‌های یک کارگزار دسترسی اولیه (Initial Access Broker) با انگیزه مالی یا پیش‌درآمدی برای حملات باج‌افزاری (ransomware) همسو است.

حمله با ارسال ایمیل فیشینگ جعلی از سوی اداره تأمین اجتماعی آمریکا (SSA) آغاز می‌شود و قربانی را به دانلود یک فایل اجرایی مخرب ترغیب می‌کند که در قالب یک سند رسمی ارائه شده است. پس از اجرا، بدافزار خود را به‌عنوان یک سرویس ویندوز نصب کرده، مکانیزم «خودترمیمی» (self-healing watchdog) برای بازراه‌اندازی خودکار فعال می‌کند و با کسب سطح دسترسی SYSTEM، امکان کنترل کامل دسکتاپ، انتقال فایل و نفوذ به سیستم‌های مجاور را فراهم می‌سازد. استفاده همزمان از دو ابزار RMM یک «معماری دسترسی دوگانه موازی» ایجاد می‌کند که حتی در صورت شناسایی و مسدود شدن یکی از کانال‌ها، ارتباط مهاجم با سیستم قربانی حفظ می‌شود.