تحذير أمني من هجمات إلكترونية واسعة تستهدف أنظمة التحكم عن بعد بالمغرب

في تحذير أمني عاجل، نبهت المديرية العامة لأمن نظم المعلومات، اليوم الخميس، إلى حملة اختراق واسعة تستهدف البنية السحابية لبرمجية "ConnectWise ScreenConnect"، بعدما رصدت الشركة المطورة هجوما منسقا مكن المهاجمين من اختراق لوحات تحكم ستة من مزودي الخدمات المدارة.

الهجوم، الذي نفذ في ظرف وجيز لم يتجاوز 90 دقيقة، امتد إلى 288 حاسوبا داخل 48 مؤسسة، عبر استغلال خمس إضافات خارجية تنتمي لعائلة "RMM+"، وهي "Labtech Plus" و"RMM Plus" و"RMM+" و"RMM Plus Password Link" و"RMM+ Password Link". وقد سارعت "ConnectWise" إلى تعطيل هذه الإضافات وقائيا، دون أن يعني وجودها بالضرورة وقوع اختراق.

التحقيقات الأولية كشفت أن المهاجمين وظفوا خاصية "Run Command" المشروعة لزرع عميل خبيث مرفق بأداة "SCKit"، مهمتها ضمان بقاء الاتصال عن بعد، وإزاحة العميل الأصلي، وتحييد "Microsoft Defender" عبر استثناءات مفتعلة، ومنع أدوات المعالجة بواسطة "AppLocker"، إضافة إلى جدولة مهمة خبيثة باسم "TrapWatch" وسرقة جلسات التقنيين للقفز إلى منصات أخرى. واستهدف الهجوم أساسا النسختين السحابيتين 26.6.6.9747 و26.7.6.9783.

ويرجح الخبراء أن باب الدخول كان ثغرة مصادقة في الإضافة "RMM+" بنسختيها 1.0.31 و1.0.32، تسمح بقبول مفتاح فارغ حين لا يضبط المسؤول مفتاح الوصول. في المقابل، تؤكد "ConnectWise" أن بنيتها التحتية لم تخترق، وأن الخلل لا يكمن في "ScreenConnect" ذاتها، ما يعني أن تحديث البرنامج وحده لن يمحو آثار أي تسلل محتمل.

أمام هذا الوضع، طالبت المديرية المؤسسات ومزوديها بتعطيل الإضافات الخمس فورا، بما فيها المنشآت المحلية، وعدم إعادة تشغيلها حتى إشعار جديد، مع دمج مؤشرات الاختراق في أنظمة الحماية، وإنهاء الجلسات النشطة وتغيير كلمات المرور وإبطال الرموز، وتقليص صلاحيات "Run Command" و"Shared Toolbox"، وتدقيق السجلات بحثا عن أي عميل دخيل، وتفادي الولوج لأي جهاز مشكوك فيه عبر "ScreenConnect"، وربط السجلات بأنظمة "SIEM" للتنبيه المبكر، واستكمال تحديثات الثغرتين موضوع النشرتين السابقتين.