eScan تایید کرد سرور به‌روزرسانی نفوذ یافته برای ارسال به‌روزرسانی مخرب

شرکت مایکروورلد تکنولوژیز، سازنده محصول آنتی‌ویروس eScan، تأیید کرد که یکی از سرورهای به‌روزرسانی آن مورد نفوذ قرار گرفته و برای توزیع یک به‌روزرسانی غیرمجاز و مخرب به تعداد محدودی از مشتریان در اوایل ماه جاری استفاده شده است. این فایل مخرب در بازه زمانی دو ساعته در ۲۰ ژانویه ۲۰۲۶ به مشتریانی که از خوشه به‌روزرسانی منطقه‌ای دانلود می‌کردند، ارسال شد. eScan اعلام کرد که زیرساخت آسیب‌دیده از آن زمان ایزوله و بازسازی شده، اعتبارنامه‌های احراز هویت تغییر یافته و راه‌حل‌های اصلاحی برای مشتریان تحت تأثیر فراهم شده است. شرکت امنیتی Morphisec گزارش فنی جداگانه‌ای منتشر کرد که فعالیت‌های مخرب مشاهده شده در سیستم‌های مشتریان را تحلیل می‌کند و آن را به به‌روزرسانی‌های ارسالی از زیرساخت eScan مرتبط می‌داند.

بر اساس گزارش Morphisec، به‌روزرسانی مخرب نسخه تغییریافته‌ای از فایل “Reload.exe” را منتشر کرد که برای ایجاد پایداری، اجرای دستورات، تغییر فایل HOSTS ویندوز برای جلوگیری از به‌روزرسانی‌های راه دور و اتصال به سرورهای کنترل و فرمان (C2) استفاده شد. بار نهایی بدافزار فایلی به نام CONSCTLX.exe بود که به عنوان درب پشتی (backdoor) و دانلودکننده پایدار عمل می‌کند. eScan یک به‌روزرسانی اصلاحی ارائه کرده که به طور خودکار تغییرات نادرست را شناسایی و اصلاح می‌کند. این حادثه دومین بار در دو سال اخیر است که مکانیزم به‌روزرسانی eScan مورد سوءاستفاده قرار می‌گیرد؛ در سال ۲۰۲۴ نیز هکرهای کره شمالی از این آسیب‌پذیری برای نصب درب پشتی در شبکه‌های شرکتی استفاده کرده بودند.