تحذير من هجمات سيبرانية على ScreenConnect: تحليل للحملة والتدابير الوقائية
أصدرت المديرية العامة لأمن نظم المعلومات (DGSSI) في المغرب نشرة أمنية عاجلة تحذر فيها من هجمات سيبرانية على ScreenConnect، وهي أداة إدارة أنظمة شهيرة تستخدمها شركات تكنولوجيا المعلومات ومزودو الخدمات المُدارة (MSP). الحملة الأخيرة، التي تم رصدها في نوفمبر 2026، استهدفت لوحات التحكم السحابية للبرنامج، مما أثار قلقًا واسعًا في الأوساط التقنية.
تفاصيل الهجوم: كيف تم اختراق 288 جهازًا في 90 دقيقة؟
وفقًا للتنبيه الأمني الصادر عن شركة ConnectWise، تعرض ما لا يقل عن ستة مزودي خدمات مُدارة لهجوم منسق. استغل المهاجمون وظيفة “Run Command” المشروعة داخل ScreenConnect لنشر عميل ثانٍ خبيث يُعرف باسم SCKit. هذا الأخير مكّنهم من تثبيت وصول مستمر عن بُعد، وتعطيل برنامج الحماية Microsoft Defender، ومنع فرق تكنولوجيا المعلومات من استخدام أدوات المعالجة.
في غضون 90 دقيقة فقط، تمكن المهاجمون من إرسال أوامر خبيثة إلى 288 حاسوبًا موزعة على 48 مؤسسة. هذا الاختراق السريع يبرز خطورة الثغرة التي استغلت إعدادات غير آمنة في إضافة “RMM+”، حيث لم يتم تعيين مفتاح وصول (access key)، مما سمح بقبول مفتاح فارغ.
الإضافات الخمس الخطرة: هل أنت معرض للخطر؟
أشارت النشرة إلى أن الهجمات ركزت على بيئات ScreenConnect التي تستخدم إضافات خارجية من عائلة RMM+، وتحديدًا خمس إضافات:
- Labtech Plus
- RMM Plus
- RMM+
- RMM Plus Password Link
- RMM+ Password Link
قامت ConnectWise بتعطيل هذه الإضافات في البيئات التي تملك صلاحية الوصول إليها، لكنها أكدت أن وجودها لا يعني بالضرورة حدوث اختراق. ومع ذلك، يجب على المؤسسات التحقق من عدم وجودها وتعطيلها فورًا.
التدابير العاجلة التي توصي بها DGSSI
دعت المديرية العامة لأمن نظم المعلومات المؤسسات ومزودي الخدمات إلى اتخاذ حزمة من الإجراءات الفورية للحد من هجمات سيبرانية على ScreenConnect، وتشمل:
- دمج مؤشرات الاختراق (IOCs) في أنظمة الكشف والحماية.
- تعطيل الإضافات الخمس المذكورة فورًا، بما في ذلك في المنشآت المحلية (On-Premises)، وعدم إعادة تفعيلها حتى إشعار آخر.
- إلغاء الجلسات النشطة لوحدات التحكم وتغيير كلمات المرور وإلغاء الرموز (tokens) المرتبطة بالحسابات.
- حصر صلاحيات الوصول إلى وظيفتي “Run Command” و”Shared Toolbox” في عدد محدود من المسؤولين.
- مراجعة سجلات التدقيق لرصد أي اتصالات غير اعتيادية أو تثبيت عملاء غير مصرح بهم.
- تجنب استخدام ScreenConnect للوصول إلى أي جهاز مشتبه في اختراقه.
- مركزة السجلات في أنظمة SIEM لتفعيل التنبيهات عند تنفيذ أوامر على عدد غير معتاد من الأجهزة.
- التأكد من تطبيق التحديثات الخاصة بالثغرتين اللتين نشرتهما المديرية سابقًا.
تحليل معمق: لماذا تعتبر هذه الحملة خطيرة؟
تكمن خطورة هذه الحملة في استغلالها لثقة المؤسسات في أدوات الإدارة المشروعة. فبدلاً من اختراق البنية التحتية لـ ConnectWise نفسها، استغل المهاجمون إعدادات خاطئة في الإضافات للوصول إلى لوحات التحكم. هذا النوع من الهجمات يُعرف بـ “الهجمات السيبرانية” القائمة على استغلال الثغرات في سلسلة التوريد، وهي تكتيك شائع بين الجماعات الإجرامية.
علاوة على ذلك، فإن استخدام أداة SCKit لإنشاء آلية استمرارية باسم “TrapWatch” وسرقة جلسات الإدارة يزيد من صعوبة الاكتشاف. وهذا يؤكد أن الاكتفاء بتحديث البرنامج ليس كافيًا، بل يجب مراجعة التكوينات الأمنية بعناية.
دور الوعي الأمني في مواجهة التهديدات
في ظل تصاعد الهجمات، يبرز دور الوعي الأمني لدى فرق تكنولوجيا المعلومات. توصي DGSSI بضرورة تدريب الموظفين على التعرف على الأنشطة المشبوهة، وعدم الاعتماد فقط على الأدوات الآلية. كما يجب على المؤسسات تبني استراتيجية دفاع متعددة الطبقات تشمل مراقبة الشبكة وتحليل السلوك.
للمزيد من الأخبار التقنية والأمنية، تابعوا الجريدة نت، الموقع الإخباري الأول في المغرب.
خلاصة: كيف تحمي مؤسستك؟
بناءً على ما سبق، فإن هجمات سيبرانية على ScreenConnect تمثل تهديدًا حقيقيًا للمؤسسات التي تعتمد على أدوات الإدارة عن بُعد. يجب على المسؤولين عن الأمن السيبراني تطبيق التوصيات فورًا، والتحقق من عدم وجود الإضافات الخطرة، وتقييد الصلاحيات، ومراقبة السجلات باستمرار. الأمان ليس منتجًا بل عملية مستمرة، واليقظة هي خط الدفاع الأول.
التعليقات (0)
اترك تعليقك