أصدرت المديرية العامة لأمن نظم المعلومات بالمغرب (DGSSI)، اليوم الخميس، نشرة أمنية تحذر فيها من حملة هجمات سيبرانية كبرى تستهدف حاليا لوحات التحكم السحابية لبرمجية “ConnectWise ScreenConnect” ومزودي الخدمات المعلوماتية المدارة (MSP).

واستندت النشرة التحذيرية إلى تنبيه أمني أصدرته شركة “ConnectWise”، كشف عن تعرض مزودي الخدمات المدارة الذين يستخدمون النسخة السحابية من “ScreenConnect” لهجوم منسق، تمكن خلاله المهاجم من السيطرة على لوحات الإدارة الخاصة بما لا يقل عن 6 مزودين، وإرسال أوامر خبيثة، في غضون 90 دقيقة فقط، نحو ما لا يقل عن 288 حاسوبا موزعة على 48 مؤسسة.

وأوضحت المعطيات التقنية أن الحادث يرتبط ببيئات “ConnectWise ScreenConnect” التي تستخدم إضافات خارجية (extensions) من عائلة “RMM+”، وتحديدا خمس إضافات هي: “Labtech Plus”، و”RMM Plus”، و”RMM+”، و”RMM Plus Password Link”، و”RMM+ Password Link”، مشيرة إلى أن الشركة قامت كإجراء وقائي بتعطيل هذه الإضافات في البيئات التي تملك صلاحية الوصول إليها، مع تأكيدها أن مجرد وجود هذه الإضافات لا يُعد دليلا قاطعا على الاختراق.

على مستوى آلية التنفيذ، استغل المهاجمون الوظيفة المشروعة “Run Command” داخل “ScreenConnect” لنشر عميل ثانٍ (client) خاضع لسيطرتهم، مرفقا بأداة خبيثة تحمل اسم “SCKit”. وتتيح هذه الأداة تثبيت عميل خبيث للحفاظ على وصول مستمر عن بُعد، واستبدال العميل الشرعي وإضافة استثناءات في برنامج الحماية “Microsoft Defender”، واستخدام أداة “AppLocker” لمنع تشغيل أدوات وأوامر المعالجة التي تطلقها فرق تقنية المعلومات.

كما تعمل أداة “SCKit” على إنشاء آليات استمرارية تشمل جدولة مهمة باسم “TrapWatch”، ومحاولة سرقة جلسات الإدارة الخاصة بالتقنيين للانتقال والانتشار العرضي (propagation latérale) نحو وحدات.....

لقراءة المقال بالكامل، يرجى الضغط على زر "إقرأ على الموقع الرسمي" أدناه

هذا المحتوى مقدم من هسبريس