المغرب يحذر من هجمات إلكترونية منسقة تستهدف أنظمة ScreenConnect
المديرية العامة لأمن نظم المعلومات تُصدر تنبيهاً بشأن حملة اختراق طالت مزودي الخدمات المُدارة عبر السحابة. الهجوم أثّر على 288 جهازاً في 48 مؤسسة خلال 90 دقيقة فقط.
المغرب يُنبّه من حملة اختراق إلكتروني تستهدف وحدات تحكم ScreenConnect السحابية
أصدرت المديرية العامة لأمن نظم المعلومات (DGSSI) تنبيهاً أمنياً، الخميس، يُحذّر من حملة هجمات إلكترونية موسّعة تستهدف وحدات إدارة ConnectWise ScreenConnect المستندة إلى السحابة ومزودي الخدمات المُدارة (MSPs). وبحسب ما أوردته Hespress، يأتي هذا التنبيه في أعقاب إشعار أمني أصدرته شركة ConnectWise بشأن هجوم منسّق استهدف عدداً من مزودي الخدمات المُدارة.
وكشفت المعطيات الأولية أن المهاجمين تمكنوا من السيطرة على وحدات التحكم الإدارية لدى ستة مزودين على الأقل، وأصدروا أوامر خبيثة على ما لا يقل عن 288 جهازاً موزّعة على 48 مؤسسة، وذلك في غضون 90 دقيقة فحسب.
امتدادات خبيثة من عائلة RMM+
ربطت نتائج التحليل التقني الحادثةَ ببيئات ConnectWise ScreenConnect التي تستخدم امتدادات خارجية تنتمي إلى عائلة RMM+. وتشمل الامتدادات الخمسة المُحدَّدة: Labtech Plus وRMM Plus وRMM+ وRMM Plus Password Link وRMM+ Password Link.
وقد عمدت ConnectWise، احترازياً، إلى تعطيل هذه الامتدادات في البيئات التي تتيح لها الوصول إليها، مؤكدةً في الوقت ذاته أن وجود هذه الامتدادات وحده لا يُثبت بصورة قاطعة تعرّض النظام للاختراق.
أداة "SCKit" ووظائفها الخبيثة
استغل المهاجمون وظيفة "Run Command" الشرعية في ScreenConnect لنشر عميل ثانٍ خاضع لسيطرتهم، إلى جانب أداة خبيثة تُعرف بـ"SCKit". وتتيح هذه الأداة تثبيت عميل خبيث يضمن استمرارية الوصول عن بُعد، واستبدال العميل الشرعي، وإضافة استثناءات في Microsoft Defender. كما تستعين بـAppLocker لمنع فرق أمن المعلومات من تشغيل أدوات المعالجة والأوامر التصحيحية.
وتُرسي "SCKit" ثباتها عبر مهمة مجدولة باسم "TrapWatch"، كما تسعى إلى اختلاس الجلسات الإدارية للتقنيين، مما قد يُمكّن المهاجمين من التحرك أفقياً والانتشار نحو وحدات إدارة ScreenConnect التابعة لمزودين آخرين.
وقد طالت الهجمات المُبلَّغ عنها في المقام الأول البيئات السحابية التي تعمل بإصداري ScreenConnect 26.6.6.9747 و26.7.6.9783. ويُرجّح الباحثون وجود صلة بثغرة في آلية المصادقة ضمن امتداد RMM+، تحديداً في الإصدارين 1.0.31 و1.0.32، إذ تظهر الثغرة حين لا يُهيّئ المسؤولون مفتاح وصول قط، فيقبل النظام مفتاحاً فارغاً.
ConnectWise: التحقيق مستمر
أفادت ConnectWise بأن تحقيقها لا يزال جارياً لتحديد نقطة الدخول الأولى والنطاق الكامل للحادثة. وأكدت الشركة أنها لم تعثر على أي دليل يُثبت تعرّض بنيتها التحتية للاختراق، أو احتواء برمجية ScreenConnect ذاتها على ثغرة أمنية، مشيرةً إلى أن مجرد تحديث البرنامج قد لا يكفي لإزالة أثر اختراق محتمل.
إجراءات حماية فورية
حثّت DGSSI المؤسسات المتضررة ومزوديها على اتخاذ تدابير وقائية عاجلة، من بينها: دمج مؤشرات الاختراق (IOCs) المرفقة في أنظمة الكشف والحماية، وتعطيل الامتدادات الخمسة فوراً شاملاً البيئات المحلية، وإبقاؤها معطّلة ريثما تُصدر ConnectWise توجيهات إضافية.
وشملت التوصيات أيضاً إنهاء الجلسات النشطة على وحدات الإدارة، وتغيير كلمات المرور وإلغاء رموز المصادقة المرتبطة بحسابات المستخدمين ومزودي الهوية. ودعت المديرية كذلك إلى تقييد الوصول إلى وظيفتي "Run Command" و"Shared Toolbox" على عدد محدود من المسؤولين، ومراجعة سجلات المراقبة بحثاً عن اتصالات غير معتادة أو عمليات تثبيت غير مصرّح بها.
وأوصت الوكالة بتركيز السجلات عبر أنظمة إدارة المعلومات والأحداث الأمنية (SIEM) لرصد الأوامر المنفّذة على عدد كبير بصورة غير اعتيادية من الأجهزة، كما نبّهت إلى ضرورة التحقق من تطبيق التحديثات المتعلقة بثغرتين سبق أن تناولتهما تنبيهات أمنية سابقة صادرة عن DGSSI.
Source: Hespress