لم يتطلب الأمر سوى 90 دقيقة لتنفيذ هجوم إلكتروني واسع، انتهى باختراق 288 حاسوباً داخل 48 مؤسسة. تطورات دفعت السلطات المغربية إلى إصدار تحذير أمني عاجل، وسط دعوات إلى تشديد الحماية المعلوماتية.
إ. لكبيش / Le12.ma
أطلقت المديرية العامة لأمن نظم المعلومات بالمغرب (DGSSI)، اليوم الخميس، تنبيهاً أمنياً عاجلاً عالي الخطورة، حذرت من خلاله من موجة هجمات سيبرانية واسعة النطاق ومنسقة، تستهدف لوحات التحكم السحابية لبرمجية “ConnectWise ScreenConnect”، إلى جانب مزودي الخدمات المعلوماتية المدارة (MSP).
ويأتي هذا التحذير عقب إشعار أمني أصدرته شركة “ConnectWise”، كشفت فيه عن تعرض عدد من مستخدمي النسخة السحابية لهجوم إلكتروني منظم وسريع، تمكن خلاله قراصنة من السيطرة على لوحات الإدارة الخاصة بستة مزودين للخدمات المعلوماتية على الأقل، وتنفيذ أوامر خبيثة في مدة لم تتجاوز 90 دقيقة.
ووفق المعطيات التي كشفت عنها الشركة، أسفرت هذه الهجمات عن اختراق نحو 288 حاسوباً موزعة على 48 مؤسسة، في مؤشر على خطورة التهديد وقدرته على الانتشار بسرعة عبر الأنظمة التي توفر خدمات الإدارة والدعم التقني عن بُعد.
وتشير التحليلات التقنية إلى أن الهجمات تستهدف بشكل خاص البيئات السحابية التي تشتغل بالإصدارين “26.6.6.9747” و”26.7.6.9783″، وترتبط باستخدام خمس إضافات خارجية من فئة “RMM+”، وهي “Labtech Plus”، و”RMM Plus”، و”RMM+”، و”RMM Plus Password Link”، و”RMM+ Password Link”.
ويرجح خبراء الأمن السيبراني ارتباط الهجمات بثغرة في آلية المصادقة الخاصة بإضافة “RMM+”، ولاسيما في الإصدارين 1.0.31 و1.0.32، حيث يمكن أن يؤدي عدم ضبط المسؤولين لمفتاح الوصول (Access Key) إلى قبول النظام مفتاحاً فارغاً، الأمر الذي يفتح الباب أمام عمليات التسلل غير المصرح بها.
ورغم إقدام الشركة على تعطيل هذه الإضافات بشكل احترازي في الأنظمة التي تتولى إدارتها، فإنها شددت على أن وجود إحدى هذه الإضافات لا يعني بالضرورة أن النظام تعرض للاختراق.
وفي ما يتعلق بالأساليب المعتمدة في تنفيذ الهجمات، أظهرت التحليلات أن القراصنة استغلوا وظيفة “Run Command”، المتاحة بشكل مشروع داخل البرمجية، لتثبيت عميل ثانٍ خاضع لسيطرتهم، مدعوم بأداة خبيثة متطورة تحمل اسم “SCKit”.
وتتيح هذه الأداة للمهاجمين إمكانية ضمان استمرار وجودهم داخل الأنظمة المخترقة، من خلال استبدال العميل الأصلي وإنشاء مهمة مجدولة خفية تحمل اسم “TrapWatch”، بما يسمح لهم بالحفاظ على إمكانية الوصول عن بُعد حتى بعد محاولات المعالجة الأولية.
كما تعتمد الأداة أساليب لتعطيل أنظمة الحماية، من خلال إضافة استثناءات داخل برنامج “Microsoft Defender”، والاستعانة بأداة “AppLocker” لعرقلة عمل أدوات الاستجابة التي تستخدمها فرق الدعم التقني.
ولا تتوقف خطورة الهجوم عند هذا الحد، إذ يمكن للمهاجمين سرقة جلسات الإدارة الخاصة بالتقنيين، واستغلالها للانتقال نحو لوحات تحكم أخرى تابعة لمزودين جدد، وهو ما يرفع من احتمالات اتساع دائرة الاختراق وانتشاره عبر مؤسسات متعددة.
وأكدت شركة “ConnectWise” أن تحقيقاتها لا تزال متواصلة لتحديد نقطة الدخول الأولى للمهاجمين، موضحة أنها لم ترصد اختراقاً لبنيتها التحتية أو ثغرة في جوهر البرمجية نفسها.
ويعني ذلك أن مجرد تحديث البرنامج لا يكفي بالضرورة لمعالجة آثار الاختراق في الأنظمة التي تعرضت له، ما يستدعي إجراء عمليات فحص أمني شاملة واتخاذ تدابير إضافية لضمان إزالة أي وجود خبيث.
وأمام خطورة هذه التطورات، دعت المديرية العامة لأمن نظم المعلومات المؤسسات المغربية ومزودي الخدمات المعلوماتية إلى التحرك بشكل فوري، من خلال تعطيل الإضافات الخمس المعنية، بما في ذلك الأنظمة المحلية (On-Premises)، إلى جانب تحديث أنظمة الحماية بمؤشرات الاختراق (IOCs) المرتبطة بهذه الهجمات.
كما أوصت بإنهاء جميع الجلسات النشطة، وتغيير كلمات المرور، وإلغاء الرموز الأمنية (Tokens) المرتبطة بالحسابات ومزودي الهوية، تفادياً لاستغلال بيانات الولوج المسروقة أو الجلسات التي قد تكون تعرضت للاختراق.
وشددت التوصيات أيضاً على ضرورة تقييد صلاحيات استخدام وظيفتي “Run Command” و”Shared Toolbox”، وحصرهما في أضيق نطاق ممكن، مع تجميع السجلات الأمنية ومراقبتها عبر أنظمة (SIEM)، لرصد أي تنفيذ جماعي أو غير مألوف للأوامر داخل الشبكات المعلوماتية.
كما نبهت إلى ضرورة تجنب استعمال برمجية “ScreenConnect” للولوج إلى أي جهاز يشتبه في تعرضه للاختراق، إلى حين التأكد من سلامته وإتمام عمليات الفحص والتحقق الأمني.
ويعيد هذا التحذير تسليط الضوء على المخاطر المتزايدة المرتبطة بالاعتماد على منصات الإدارة عن بُعد، التي تحولت إلى أهداف مغرية للقراصنة، بالنظر إلى الصلاحيات الواسعة التي تتيحها وقدرتها على الوصول إلى عدد كبير من الأجهزة والمؤسسات انطلاقاً من نقطة تحكم واحدة.
