تحذير أمني مغربي من هجمات سيبرانية كبرى تستهدف مزودي الخدمات السحابية

وجهت المديرية العامة لأمن نظم المعلومات بالمغرب (DGSSI)، اليوم الخميس، تنبيهاً أمنياً عاجلاً تحذر فيه من موجة هجمات إلكترونية واسعة النطاق تستهدف في الوقت الراهن لوحات التحكم السحابية لبرمجية "ConnectWise ScreenConnect" ومزودي الخدمات المعلوماتية المدارة (MSP).

وجاء هذا التحذير بناءً على إشعار أمني أصدرته شركة "ConnectWise"، كشف عن تعرض مستخدمي النسخة السحابية من البرمجية لهجوم منسق، نجح خلاله القراصنة في الاستحواذ على لوحات الإدارة لـ 6 مزودين على الأقل، وتنفيذ أوامر خبيثة في زمن قياسي لم يتجاوز 90 دقيقة، طالت نحو 288 حاسوباً تتوزع على 48 مؤسسة.

وأفادت التفاصيل التقنية بأن الهجوم يرتبط بالبيئات التي تعتمد إضافات خارجية (extensions) من فئة "RMM+"، وتحديداً خمس إضافات هي: "Labtech Plus"، و"RMM Plus"، و"RMM+"، و"RMM Plus Password Link"، و"RMM+ Password Link".

وأشارت الشركة إلى أنها بادرت كخطوة احترازية إلى تعطيل هذه الإضافات في الأنظمة التي تملك صلاحية الوصول إليها، منبهة إلى أن تواجد هذه الإضافات لا يُعد بحد ذاته دليلاً قاطعاً على وقوع الاختراق.

وفيما يخص أسلوب التنفيذ، عمد المهاجمون إلى استغلال الوظيفة الشرعية "Run Command" داخل "ScreenConnect" لتثبيت عميل ثانٍ (client) تحت سيطرتهم، مدعوماً بأداة برمجية خبيثة تُدعى "SCKit".

وتُمكن هذه الأداة المهاجمين من ضمان وصول دائم عن بُعد، واستبدال العميل الأصلي، مع إضافة استثناءات داخل برنامج الحماية "Microsoft Defender"، وتوظيف أداة "AppLocker" لتعطيل أدوات وأوامر الاستجابة التي تستخدمها فرق الدعم التقني.

كما تعمل برمجية "SCKit" على ترسيخ وجودها عبر جدولة مهمة باسم "TrapWatch"، بالتوازي مع محاولة سرقة جلسات الإدارة الخاصة بالتقنيين بغرض التمدد والانتشار العرضي (propagation latérale) نحو وحدات تحكم "ScreenConnect" أخرى تتبع لمزودين آخرين.

وأوضحت المعطيات التقنية أن هذه الهجمات تركزت بشكل رئيسي على النسخ السحابية العاملة بالإصدارين "26.6.6.9747" و"26.7.6.9783".

ورجح خبراء الأمن السيبراني وجود ارتباط محتمل بين هذه الحملة وثغرة في نظام المصادقة ضمن إضافة "RMM+" (خاصة في الإصدارين 1.0.31 و1.0.32)، تبرز عند إغفال المسؤول ضبط مفتاح الوصول (access key) تماماً، ما يتيح للنظام قبول مفتاح فارغ.

 من جانبها، أكدت "ConnectWise" استمرار تحقيقاتها لتحديد نقطة الاختراق الأولى وحجم الضرر الفعلي، موضحة عدم رصد أي اختراق لبنيتها التحتية أو ثغرة في جوهر برمجية "ScreenConnect" نفسها، الأمر الذي يجعل الاكتفاء بتحديث البرنامج غير كافٍ للتخلص من آثار الاختراق المحتمل.

وأمام هذه المعطيات، حثت المديرية العامة لأمن نظم المعلومات المؤسسات المعنية ومزودي خدماتها على تفعيل حزمة إجراءات وقائية فورية، تتصدرها تغذية أنظمة الكشف والحماية بمؤشرات الاختراق (IOCs) المرفقة بالنشرة، وفحص الأنظمة لتعطيل الإضافات الخمس المذكورة حالاً بما في ذلك ضمن البيئات المحلية (On-Premises) مع الإبقاء عليها معطلة لحين صدور توجيهات جديدة من "ConnectWise".

كما شددت على ضرورة إنهاء كافة الجلسات النشطة لوحدات التحكم، وتغيير كلمات المرور، وإلغاء الرموز الأمنية (tokens) المرتبطة بالحسابات ومزودي الهوية.

واختتمت المديرية توصياتها بالدعوة إلى تقييد صلاحيات الوصول إلى وظيفتي "Run Command" و"Shared Toolbox" وحصرها في أضيق نطاق من المسؤولين، ومراجعة سجلات التدقيق لاكتشاف أي اتصالات مشبوهة أو عمليات تثبيت غير مصرح بها، مع تجنب استخدام "ScreenConnect" للدخول إلى أي جهاز يُشتبه في اختراقه.

كما دعت إلى مركزية السجلات ضمن أنظمة (SIEM) لتفعيل التنبيهات الفورية عند تنفيذ أوامر على عدد غير مألوف من الأجهزة، والتحقق من تثبيت التحديثات الخاصة بالثغرتين اللتين سبق للمديرية التحذير منهما في نشرات سابقة.