أنتلجنسيا المغرب: عبدالعزيز . م

أطلقت المديرية العامة لأمن نظم المعلومات بالمغرب، اليوم الخميس، تحذيراً أمنياً بشأن حملة هجمات سيبرانية واسعة تستهدف منصات الإدارة السحابية التابعة لبرمجية «ConnectWise ScreenConnect»، إلى جانب مزودي الخدمات المعلوماتية المدارة، وذلك بعد رصد عمليات اختراق منسقة استهدفت عدداً من لوحات التحكم الإدارية، وأثارت مخاوف من إمكانية استغلال هذه الأنظمة للوصول إلى أجهزة ومؤسسات متعددة انطلاقاً من حسابات المزودين.

وتستند النشرة المغربية إلى معطيات أمنية كشفت عنها شركة «ConnectWise»، تفيد بأن المهاجمين تمكنوا من السيطرة على لوحات إدارة تابعة لما لا يقل عن ستة مزودين للخدمات المدارة، قبل استغلالها في توجيه أوامر ضارة إلى نحو 288 حاسوباً موزعة على 48 مؤسسة، ولم تستغرق العملية، وفق المعطيات المنشورة، سوى 90 دقيقة، وهو ما يعكس سرعة انتشار الهجوم والخطر الذي قد تشكله منصات التحكم عن بعد عندما تقع في أيدي جهات غير مصرح لها.

وتشير التحقيقات التقنية إلى ارتباط الحملة باستخدام خمس إضافات خارجية من عائلة «RMM+»، هي «Labtech Plus» و«RMM Plus» و«RMM+» و«RMM Plus Password Link» و«RMM+ Password Link»، وقد بادرت الشركة إلى تعطيل هذه الإضافات في البيئات التي تستطيع التحكم فيها، كإجراء احترازي للحد من المخاطر، مع التشديد على أن وجود إحدى هذه الإضافات أو أكثر لا يثبت وحده تعرض النظام للاختراق، وإنما يستدعي إجراء فحص أمني دقيق.

واعتمد المهاجمون، بحسب التفاصيل التقنية، على وظيفة مشروعة داخل البرنامج تحمل اسم «Run Command»، من أجل تثبيت عميل إضافي تحت سيطرتهم وإرفاقه بأداة خبيثة تسمى «SCKit»، وتسمح هذه الأداة بإنشاء قناة وصول عن بعد يمكن استخدامها بشكل مستمر، فضلاً عن استبدال العميل الأصلي وإضافة استثناءات إلى نظام الحماية «Microsoft Defender»، كما تستغل آليات أخرى لتعطيل قدرة فرق تقنية المعلومات على تشغيل بعض أدوات الفحص والمعالجة، بما يصعب اكتشاف الاختراق واحتواء آثاره.

ولا تتوقف قدرات الأداة عند تثبيت العميل الخبيث، إذ تتضمن آليات للحفاظ على وجودها داخل الأنظمة، من بينها إنشاء مهمة مجدولة تحمل اسم «TrapWatch»، إلى جانب محاولات الاستيلاء على جلسات الإدارة الخاصة بالتقنيين، بما قد يتيح الانتقال من وحدة تحكم إلى أخرى واستهداف مزودين إضافيين، ووفق المعطيات المتاحة، تركزت الهجمات أساساً على البيئات السحابية التي تستخدم الإصدارين «26.6.6.9747» و«26.7.6.9783» من البرمجية.

ويرجح الباحثون وجود ارتباط محتمل بين الحملة وثغرة في المصادقة داخل الإضافة «RMM+»، وتحديداً في الإصدارين «1.0.31» و«1.0.32»، حيث يمكن أن يؤدي عدم إعداد المسؤول لمفتاح الوصول إلى قبول مفتاح فارغ، بما يفتح المجال أمام وصول غير مصرح به، غير أن الشركة أكدت أن التحقيق لا يزال متواصلاً لتحديد نقطة الدخول الأولى وحجم الأضرار، موضحة أنها لم تعثر حتى الآن على أدلة تثبت اختراق بنيتها التحتية أو وجود خلل في برنامج «ScreenConnect» نفسه، وهو ما يعني أن تحديث البرنامج وحده قد لا يكون كافياً لمعالجة آثار اختراق محتمل.

وفي مواجهة هذه التهديدات، دعت المديرية العامة لأمن نظم المعلومات المؤسسات ومزودي الخدمات إلى التحرك الفوري، عبر فحص الأنظمة وتعطيل الإضافات الخمس المعنية، بما يشمل البيئات المحلية، وعدم إعادة تشغيلها قبل صدور تعليمات جديدة، فضلاً عن إلغاء الجلسات النشطة وتغيير كلمات المرور وسحب الرموز المرتبطة بالحسابات، ومراجعة سجلات الدخول والأوامر المنفذة، وتقليص صلاحيات استخدام وظائف الإدارة الحساسة، كما أوصت بتفعيل مؤشرات الاختراق داخل أنظمة الحماية، وتجميع السجلات في منصات المراقبة الأمنية «SIEM»، والتنبه إلى أي أوامر غير معتادة أو تثبيت لعملاء مجهولين، مع تجنب استعمال البرنامج للوصول إلى الأجهزة المشتبه في تعرضها للاختراق والتحقق من تثبيت التحديثات الأمنية السابقة.