تحذير مغربي من حملة سيبرانية تستهدف منصات ScreenConnect وتخترق مئات الأجهزة

كش بريس/التحرير ـ

حذّرت المديرية العامة لأمن نظم المعلومات بالمغرب، اليوم الخميس، من حملة سيبرانية واسعة تستهدف البنية السحابية لبرمجية ConnectWise ScreenConnect، مع تركيز الهجمات على لوحات التحكم الخاصة بمزودي الخدمات المعلوماتية المدارة (MSP)، في عملية قالت المعطيات التقنية إنها مكّنت مهاجمين من اختراق أنظمة إدارة عن بُعد والتحكم في مئات الحواسيب التابعة لعدد من المؤسسات.

وجاء التحذير المغربي استنادا إلى إشعار أمني صادر عن شركة ConnectWise، أفاد بتعرض عدد من مزودي الخدمات المدارة الذين يعتمدون النسخة السحابية من ScreenConnect لهجوم منسق، تمكن خلاله المهاجمون من السيطرة على لوحات الإدارة لدى ستة مزودين على الأقل، قبل استغلالها في تنفيذ أوامر خبيثة طالت، خلال فترة لم تتجاوز 90 دقيقة، ما لا يقل عن 288 حاسوبا موزعة على 48 مؤسسة.

وتشير المعطيات التي كشفتها الشركة إلى أن الحملة ارتبطت ببيئات ScreenConnect التي تحتوي على إضافات خارجية من عائلة RMM+، وهي: Labtech Plus، RMM Plus، RMM+، RMM Plus Password Link، وRMM+ Password Link. وعلى إثر اكتشاف النشاط المشبوه، بادرت الشركة إلى تعطيل هذه الإضافات في البيئات التي تملك صلاحية الوصول إليها، مع التشديد على أن وجود إحدى هذه الإضافات، في حد ذاته، لا يعني بالضرورة أن النظام تعرض للاختراق.

وتكشف طريقة تنفيذ الهجوم عن استغلال المهاجمين لوظيفة شرعية داخل ScreenConnect تحمل اسم Run Command، وهي الوظيفة التي تتيح للمسؤولين تنفيذ أوامر عن بُعد على الأجهزة المرتبطة بالنظام. وقد جرى توظيفها لنشر عميل ثانٍ تحت سيطرة المهاجمين، إلى جانب أداة خبيثة تحمل اسم SCKit، مكّنت من تثبيت قناة وصول مستمرة إلى الأنظمة المستهدفة.

ولم يقتصر دور الأداة الخبيثة على إنشاء وصول عن بُعد، إذ تضمنت قدراتها استبدال العميل الشرعي، وإضافة استثناءات داخل Microsoft Defender بما يتيح تفادي آليات الحماية، فضلا عن استغلال AppLocker لمنع تشغيل بعض الأدوات والأوامر التي تستخدمها فرق تقنية المعلومات في عمليات المعالجة والاستجابة للحوادث.

كما اعتمدت الحملة على آليات متعددة لضمان استمرار وجود المهاجم داخل البيئة المستهدفة، من بينها إنشاء مهمة مجدولة تحمل اسم TrapWatch، إلى جانب محاولة سرقة جلسات الإدارة الخاصة بالتقنيين، بما يتيح للمهاجمين توسيع نطاق تحركهم والانتقال أفقيا نحو وحدات تحكم أخرى لـ ScreenConnect تابعة لمزودين مختلفين.

وبحسب الملاحظات التقنية المنشورة، تركزت الهجمات بصورة خاصة على البيئات السحابية التي تعمل بالإصدارين 26.6.6.9747 و26.7.6.9783. كما يشتبه الباحثون في وجود ارتباط محتمل بين الحملة وثغرة تتعلق بالمصادقة في إضافة RMM+، وتحديدا في الإصدارين 1.0.31 و1.0.32، حيث يمكن أن تنشأ المشكلة عندما لا يقوم المسؤول بضبط مفتاح الوصول، بما يسمح بقبول مفتاح فارغ.

وفي المقابل، أكدت ConnectWise أن التحقيق في الحادث ما يزال مستمرا، خصوصا لتحديد نقطة الدخول الأولى للمهاجمين وتقييم المدى الكامل للاختراق. كما أوضحت أنها لم تسجل، إلى حدود المعطيات المتاحة، أي مؤشر على اختراق بنيتها التحتية الخاصة، أو على وجود ثغرة في برمجية ScreenConnect نفسها. وهو ما يعني أن مجرد تحديث البرنامج لا يكفي، في الحالات المشتبه فيها، للتأكد من إزالة آثار الاختراق أو قطع قنوات الوصول التي أنشأها المهاجمون.

ودعت المديرية العامة لأمن نظم المعلومات المؤسسات المتأثرة ومزودي الخدمات المعنيين إلى التعامل مع الحملة باعتبارها حادثا أمنيا يستوجب إجراءات فورية، وفي مقدمتها إدماج مؤشرات الاختراق (IOCs) المرفقة بالنشرة داخل أنظمة الكشف والحماية، والتحقق من وجود الإضافات الخمس المرتبطة بعائلة RMM+ وتعطيلها فورا، بما يشمل البيئات المحلية On-Premises، وعدم إعادة تفعيلها إلى حين صدور توجيهات جديدة من الشركة المطورة.

وتشمل الإجراءات الموصى بها كذلك إلغاء الجلسات النشطة الخاصة بوحدات التحكم، وتغيير كلمات المرور، وإبطال الرموز المميزة Tokens المرتبطة بالحسابات ومزودي الهوية، مع تشديد القيود المفروضة على صلاحيات الوصول إلى وظيفتي Run Command وShared Toolbox وقصر استخدامها على نطاق محدود من المسؤولين المخولين.

كما شددت النشرة على ضرورة مراجعة سجلات التدقيق بحثا عن اتصالات غير مألوفة أو عمليات تثبيت لعملاء غير مصرح بهم، وتفادي استخدام ScreenConnect للوصول إلى أي جهاز توجد مؤشرات على تعرضه للاختراق، فضلا عن تجميع السجلات داخل أنظمة إدارة معلومات وأحداث الأمن SIEM، بما يسمح بإطلاق تنبيهات عند رصد تنفيذ أوامر على عدد غير اعتيادي من الأجهزة.

وفي سياق متصل، أوصت المديرية بالتحقق من أن التحديثات الأمنية المتعلقة بالثغرتين اللتين سبق أن تناولتهما نشرتا المديرية قد جرى تطبيقها فعليا، بما يحد من فرص استغلال الثغرات المعروفة ويمنع تحويل أدوات الإدارة عن بُعد إلى نقطة ارتكاز لعمليات اختراق أوسع.

وتبرز هذه الحملة، وفق المعطيات التقنية المتاحة، خطورة منصات الإدارة عن بُعد حين تتحول صلاحياتها المشروعة إلى أدوات لتنفيذ الأوامر الخبيثة، خصوصا في البيئات التي يعتمد فيها مزود واحد على إدارة عدد كبير من الأجهزة والمؤسسات. فاختراق لوحة تحكم واحدة قد لا يبقى محصورا في جهاز أو شبكة منفردة، وإنما يمكن أن يتحول إلى نقطة عبور نحو سلسلة أوسع من الأنظمة والأهداف.