**هجمات سيبرانية تسيطر على 288 جهازًا عبر برمجية ScreenConnect بالمغرب** أعلنت المديرية العامة لأمن نظم المعلومات بالمغرب (DGSSI) اليوم الخميس عن حملة هجمات سيبرانية واسعة تستهدف لوحات التحكم السحابية لبرمجية ConnectWise ScreenConnect، وهي برمجية تستخدم بشكل واسع من قبل مزودي الخدمات المعلوماتية المدارة (MSP). وفقًا لتحذير أمني أصدرته الشركة نفسها، تمكن المهاجمون خلال 90 دقيقة فقط من السيطرة على لوحات إدارة ما لا يقل عن ستة مزودين، وإرسال أوامر خبيثة نحو 288 جهازًا موزعة على 48 مؤسسة مختلفة.
الاستهداف يركز بشكل خاص على النسخ السحابية من البرمجية، والتي تعمل بالإصدارات 26.6.6.9747 و26.7.6.9783. وفقًا للبيانات التقنية، ترتبط الهجمات ببيئات ScreenConnect التي تعتمد على خمس إضافات خارجية من عائلة RMM+، وهي Labtech Plus، وRMM Plus، وRMM+، وRMM Plus Password Link، وRMM+ Password Link. وقد قامت الشركة بتعطيل هذه الإضافات في البيئات التي تسيطر عليها، مع التأكيد على أن وجودها لا يعني بالضرورة تعرض النظام للاختراق.
طريقة التنفيذ كانت عبر استغلال وظيفة مشروعة داخل البرمجية، Run Command، لنشر عميل خبيث يحمل اسم SCKit. هذه الأداة تمكن المهاجمين من تثبيت عميل خبيث للحفاظ على الوصول عن بعد، واستبدال العميل الشرعي، وإضافة استثناءات في برنامج Microsoft Defender، بالإضافة إلى استخدام أداة AppLocker لمنع تشغيل أدوات تقنية المعلومات. كما تعمل الأداة على إنشاء آليات استمرارية، مثل جدولة مهمة باسم TrapWatch، لمحاولة سرقة جلسات الإدارة والتوسع في وحدات تحكم أخرى تابعة لمزودي خدمات مختلفة.
يرجح الباحثون وجود صلة بين هذه الحملة وثغرة مصادقة في الإضافة RMM+، خاصة في الإصدارات 1.0.31 و1.0.32، والتي تظهر عندما لا يتم ضبط مفتاح الوصول بشكل صحيح. ومع ذلك، أكدت ConnectWise أن التحقيق لا يزال جاريًا لتحديد مسار الوصول الأولي والنطاق الكامل للحادث، مؤكدة عدم وجود دليل على اختراق بنيتها التحتية الخاصة أو ثغرة في البرمجية نفسها. هذا يعني أن تحديث البرنامج وحده قد لا يكفي لإزالة أي اختراق محتمل.
في ضوء هذه التهديدات، دعت المديرية العامة لأمن نظم المعلومات المؤسسات المعنية ومزوديها إلى اتخاذ تدابير عاجلة. من بين هذه التدابير، دمج مؤشرات الاختراق (IOCs) في أنظمة الكشف والحماية، وتحقق من وجود الإضافات الخمس المذكورة وتعطيلها فورًا، حتى في المنشآت المحلية On-Premises، دون إعادة تفعيلها إلا بعد تعليمات جديدة من ConnectWise. بالإضافة إلى ذلك، يجب إلغاء الجلسات النشطة لوحدات التحكم وتغيير كلمات المرور وإلغاء الرموز المرتبطة بالحسابات ومزودي الهوية.
كما أوصت النشرة بتقييد صلاحيات الوصول إلى وظيفتي Run Command وShared Toolbox على عدد محدود من المسؤولين، ومراجعة سجلات التدقيق لرصد أي اتصالات غير اعتيادية أو تثبيت عملاء غير مصرح بهم. يُنصح أيضًا بتجنب استخدام ScreenConnect للوصول إلى أي جهاز مشتبه في اختراقه، ومركزة السجلات في أنظمة SIEM لتفعيل التنبيهات عند تنفيذ أوامر على عدد غير معتاد من الأجهزة. كما يجب التحقق من تطبيق التحديثات الخاصة بالثغرتين اللتين نشرتهما المديرية سابقًا.
تعليقات
0