تحذير أمني «حرج» بالمغرب من هجمات سيبرانية تستهدف مئات الحواسيب..
معكم 24
أطلقت المديرية العامة لأمن نظم المعلومات بالمغرب تحذيراً أمنياً من حملة هجمات سيبرانية منسقة تستهدف لوحات التحكم السحابية لبرمجية «ConnectWise ScreenConnect»، ومزودي الخدمات المعلوماتية المدارة، بعدما تمكن مهاجمون من اختراق أنظمة إدارية وتنفيذ أوامر خبيثة طالت مئات الحواسيب التابعة لعشرات المؤسسات.
وأوضحت المديرية، في نشرة أمنية صادرة الخميس 12 نونبر، استناداً إلى تنبيه أصدرته شركة «ConnectWise»، أن الهجمات مكنت المهاجمين من السيطرة على لوحات الإدارة الخاصة بستة مزودين للخدمات المعلوماتية على الأقل، قبل إرسال أوامر خبيثة إلى 288 حاسوباً موزعة على 48 مؤسسة، وذلك في غضون 90 دقيقة فقط.
وتستهدف الحملة، وفق المعطيات التقنية، بيئات «ScreenConnect» التي تستخدم إضافات خارجية تابعة لعائلة «RMM+»، إذ حددت الشركة خمس إضافات مرتبطة بالتحقيق، هي: «Labtech Plus» و«RMM Plus» و«RMM+» و«RMM Plus Password Link» و«RMM+ Password Link».
وتشير التحليلات الأولية إلى أن المهاجمين استغلوا وظائف الإدارة عن بُعد لتنفيذ أوامر غير مصرح بها، ونشر أدوات وبرمجيات تتيح لهم الاحتفاظ بإمكانية الولوج إلى الأجهزة المستهدفة، مع محاولات للاستحواذ على جلسات الإدارة الخاصة بالتقنيين، بما قد يسمح بتوسيع نطاق الاختراق نحو أنظمة أخرى.
وفي مواجهة هذه التهديدات، دعت المديرية المؤسسات المعنية ومزودي الخدمات إلى اتخاذ إجراءات أمنية عاجلة، في مقدمتها التحقق من وجود الإضافات الخمس وتعطيلها فوراً، بما في ذلك داخل المنشآت التي تعتمد التثبيت المحلي للبرمجية، مع عدم إعادة تفعيلها إلى حين صدور توجيهات جديدة من الشركة المطورة.
كما أوصت بإلغاء الجلسات النشطة في لوحات التحكم، وتغيير كلمات المرور، وإبطال الرموز الأمنية المرتبطة بحسابات المستخدمين ومزودي الهوية، إلى جانب حصر صلاحيات استخدام وظيفتي «Run Command» و«Shared Toolbox» في عدد محدود من المسؤولين المخولين.
وشددت النشرة على ضرورة مراجعة سجلات التدقيق لرصد الاتصالات غير الاعتيادية وعمليات تثبيت العملاء غير المصرح بهم، وتجنب استخدام «ScreenConnect» للوصول إلى أي جهاز يشتبه في تعرضه للاختراق، فضلاً عن إدماج مؤشرات الاختراق ضمن أنظمة الكشف والحماية ومركزة السجلات لتسهيل رصد الأنشطة المشبوهة.
وفي توضيح مهم بشأن طبيعة الحادث، أفادت «ConnectWise» بأنها لم ترصد، إلى حدود آخر تحديث لتنبيهها، دليلاً على اختراق بنيتها التحتية أو على وجود ثغرة في برمجية «ScreenConnect» نفسها، مرجحة أن تكون الحملة مرتبطة بإساءة استخدام إضافات خارجية مستقلة مثبتة في بيئات بعض الشركاء. وأكدت أن التحقيق لا يزال جارياً لتحديد طريقة الولوج الأولية والنطاق الكامل للهجمات.
ويعني ذلك أن تحديث البرمجية وحده لا يكفي بالضرورة لمعالجة الاختراقات المحتملة، خصوصاً إذا تمكن المهاجمون من تثبيت أدوات وصول عن بُعد أو إنشاء قنوات اتصال مستمرة داخل الأنظمة المستهدفة.
ودعت المديرية المؤسسات أيضاً إلى التأكد من تطبيق التحديثات المرتبطة بثغرتين سبق أن نبهت إليهما في نشرات أمنية سابقة، مع التعامل مع الحملة باعتبارها تهديداً يستدعي التحقق الفوري من سلامة الأنظمة والحسابات الإدارية.