مديرية أمن نظم المعلومات تحذر من هجمات سيبرانية واسعة بالمغرب

أصدرت المديرية العامة لأمن نظم المعلومات بالمغرب (DGSSI)، اليوم الخميس، نشرة أمنية تحذر فيها من حملة هجمات سيبرانية كبرى تستهدف حاليا لوحات التحكم السحابية لبرمجية “ConnectWise ScreenConnect” ومزودي الخدمات المعلوماتية المدارة (MSP).

واستندت النشرة التحذيرية إلى تنبيه أمني أصدرته شركة “ConnectWise”، كشف عن تعرض مزودي الخدمات المدارة الذين يستخدمون النسخة السحابية من “ScreenConnect” لهجوم منسق، تمكن خلاله المهاجم من السيطرة على لوحات الإدارة الخاصة بما لا يقل عن 6 مزودين، وإرسال أوامر خبيثة، في غضون 90 دقيقة فقط، نحو ما لا يقل عن 288 حاسوبا موزعة على 48 مؤسسة.

وأوضحت المعطيات التقنية أن الحادث يرتبط ببيئات “ConnectWise ScreenConnect” التي تستخدم إضافات خارجية (extensions) من عائلة “RMM+”، وتحديدا خمس إضافات هي: “Labtech Plus”، و”RMM Plus”، و”RMM+”، و”RMM Plus Password Link”، و”RMM+ Password Link”، مشيرة إلى أن الشركة قامت كإجراء وقائي بتعطيل هذه الإضافات في البيئات التي تملك صلاحية الوصول إليها، مع تأكيدها أن مجرد وجود هذه الإضافات لا يُعد دليلا قاطعا على الاختراق.

على مستوى آلية التنفيذ، استغل المهاجمون الوظيفة المشروعة “Run Command” داخل “ScreenConnect” لنشر عميل ثانٍ (client) خاضع لسيطرتهم، مرفقا بأداة خبيثة تحمل اسم “SCKit”. وتتيح هذه الأداة تثبيت عميل خبيث للحفاظ على وصول مستمر عن بُعد، واستبدال العميل الشرعي وإضافة استثناءات في برنامج الحماية “Microsoft Defender”، واستخدام أداة “AppLocker” لمنع تشغيل أدوات وأوامر المعالجة التي تطلقها فرق تقنية المعلومات.

كما تعمل أداة “SCKit” على إنشاء آليات استمرارية تشمل جدولة مهمة باسم “TrapWatch”، ومحاولة سرقة جلسات الإدارة الخاصة بالتقنيين للانتقال والانتشار العرضي (propagation latérale) نحو وحدات تحكم “ScreenConnect” أخرى تابعة لمزودين آخرين. وأفادت الملاحظات المنشورة بأن الهجمات استهدفت أساسا النسخ السحابية التي تعمل بالإصدارين “26.6.6.9747 و26.7.6.9783”.

ورجّح الباحثون وجود صلة محتملة بين هذه الحملة وثغرة مصادقة في الإضافة “RMM+” (تحديدا في الإصدارين 1.0.31 و1.0.32)، تظهر عندما لا يقوم المسؤول بضبط مفتاح الوصول (access key) مطلقا، مما يسمح بقبول مفتاح فارغ. وأكدت “ConnectWise” أن التحقيق لا يزال جاريا لتحديد مسار الوصول الأولي والنطاق الكامل للحادث، موضحة أنها لم ترصد أي دليل على اختراق بنيتها التحتية الخاصة أو وجود ثغرة في برمجية “ScreenConnect” نفسها، مما يجعل الاكتفاء بتحديث البرنامج غير كافٍ لضمان إزالة أي اختراق محتمل.

ودعت المديرية العامة لأمن نظم المعلومات المؤسسات المعنية ومزوديها إلى اتخاذ حزمة من التدابير العاجلة، تشمل دمج مؤشرات الاختراق (IOCs) المرفقة في أنظمة الكشف والحماية، والتحقق من وجود الإضافات الخمس المذكورة وتعطيلها فورا-بما في ذلك في المنشآت المحلية (On-Premises)-وعدم إعادة تفعيلها إلى حين صدور تعليمات جديدة من “ConnectWise”، فضلا عن إلغاء الجلسات النشطة لوحدات التحكم وتغيير كلمات المرور وإلغاء الرموز (tokens) المرتبطة بالحسابات ومزودي الهوية.

كما أوصت النشرة بحصر صلاحيات الوصول إلى وظيفتي “Run Command” و”Shared Toolbox” في عدد محدود من المسؤولين، ومراجعة سجلات التدقيق لرصد أي اتصالات غير اعتيادية أو تثبيت عملاء غير مصرح بهم، وتجنب استخدام “ScreenConnect” للوصول إلى أي جهاز مشتبه في اختراقه، ومركزة السجلات في أنظمة (SIEM) لتفعيل التنبيهات عند تنفيذ أوامر على عدد غير معتاد من الأجهزة، إلى جانب التحقق من تطبيق التحديثات الخاصة بالثغرتين اللتين كانتا موضوع نشرتي المديرية سابقا.