مديرية أمن نظم المعلومات المغربية تطلق تحذيراً عاجلاً بشأن هجمات سيبرانية واسعة النطاق

أصدرت المديرية العامة لأمن نظم المعلومات بالمغرب (DGSSI) نشرة أمنية تحذر فيها من حملة هجمات سيبرانية كبرى تستهدف حالياً لوحات التحكم السحابية لبرمجية “ConnectWise ScreenConnect” ومزودي الخدمات المعلوماتية المدارة (MSP). يأتي هذا التحذير بناءً على تنبيه أمني من شركة “ConnectWise” كشف عن تعرض مزودي الخدمات المدارة الذين يستخدمون النسخة السحابية من “ScreenConnect” لهجوم منسق. تمكن المهاجم خلال الهجوم من السيطرة على لوحات الإدارة لما لا يقل عن 6 مزودين، وإرسال أوامر خبيثة إلى ما لا يقل عن 288 حاسوباً في 48 مؤسسة خلال 90 دقيقة فقط.

ترتبط هذه الحادثة ببيئات “ConnectWise ScreenConnect” التي تستخدم إضافات خارجية من عائلة “RMM+”، وتحديداً خمس إضافات هي: “Labtech Plus”، و”RMM Plus”، و”RMM+”، و”RMM Plus Password Link”، و”RMM+ Password Link”. كإجراء وقائي، قامت الشركة بتعطيل هذه الإضافات في البيئات التي تملك صلاحية الوصول إليها، مع التأكيد على أن وجود هذه الإضافات لا يعني بالضرورة حدوث اختراق.

على مستوى آلية التنفيذ، استغل المهاجمون وظيفة “Run Command” المشروعة داخل “ScreenConnect” لنشر عميل ثانٍ خاضع لسيطرتهم، مرفقاً بأداة خبيثة باسم “SCKit”. تتيح هذه الأداة تثبيت عميل خبيث للحفاظ على وصول مستمر عن بُعد، واستبدال العميل الشرعي، وإضافة استثناءات في برنامج الحماية “Microsoft Defender”، واستخدام أداة “AppLocker” لمنع تشغيل أدوات وأوامر المعالجة التي تطلقها فرق تقنية المعلومات.

تعمل أداة “SCKit” أيضاً على إنشاء آليات استمرارية تشمل جدولة مهمة باسم “TrapWatch”، ومحاولة سرقة جلسات الإدارة الخاصة بالتقنيين للانتقال والانتشار العرضي نحو وحدات تحكم “ScreenConnect” أخرى تابعة لمزودين آخرين. استهدفت الهجمات بشكل أساسي النسخ السحابية التي تعمل بالإصدارين “26.6.6.9747 و26.7.6.9783”. رجّح الباحثون وجود صلة محتملة بين هذه الحملة وثغرة مصادقة في الإضافة “RMM+” (الإصدارين 1.0.31 و1.0.32) تظهر عند عدم ضبط مفتاح الوصول، مما يسمح بقبول مفتاح فارغ.

أكدت “ConnectWise” أن التحقيق لا يزال جارياً لتحديد مسار الوصول الأولي والنطاق الكامل للحادث، ولم ترصد أي دليل على اختراق بنيتها التحتية الخاصة أو وجود ثغرة في برمجية “ScreenConnect” نفسها، مما يجعل تحديث البرنامج غير كافٍ لضمان إزالة أي اختراق محتمل.

دعت المديرية العامة لأمن نظم المعلومات المؤسسات المعنية ومزوديها إلى اتخاذ حزمة من التدابير العاجلة، تشمل دمج مؤشرات الاختراق (IOCs) المرفقة في أنظمة الكشف والحماية، والتحقق من وجود الإضافات الخمس المذكورة وتعطيلها فوراً، وعدم إعادة تفعيلها إلى حين صدور تعليمات جديدة من “ConnectWise”. كما أوصت بإلغاء الجلسات النشطة لوحدات التحكم وتغيير كلمات المرور وإلغاء الرموز المرتبطة بالحسابات ومزودي الهوية. بالإضافة إلى ذلك، تم التوصية بحصر صلاحيات الوصول إلى وظيفتي “Run Command” و”Shared Toolbox” في عدد محدود من المسؤولين، ومراجعة سجلات التدقيق لرصد أي اتصالات غير اعتيادية أو تثبيت عملاء غير مصرح بهم، وتجنب استخدام “ScreenConnect” للوصول إلى أي جهاز مشتبه في اختراقه، ومركزة السجلات في أنظمة (SIEM) لتفعيل التنبيهات عند تنفيذ أوامر على عدد غير معتاد من الأجهزة، والتحقق من تطبيق التحديثات الخاصة بالثغرتين اللتين كانتا موضوع نشرتي المديرية سابقاً.