المديرية العامة لأمن نظم المعلومات تصدر النشرة الإنذارية تحذر من تهديد سيبراني عالي الخطورة

ما هو برنامج ScreenConnect (ConnectWise)

يُعدّ ScreenConnect، المعروف الآن باسم ConnectWise Control، أداة تحكم عن بُعد تُستَخدم على نطاق واسع من قبل مزودي الخدمات التقنية (MSP) لإدارة حواسيب عملائهم. يسمح البرنامج للمسؤولين بالدخول إلى أجهزة المستخدمين لحل المشكلات التقنية دون الحاجة إلى حضور مادي.

تفاصيل النشرة الإنذارية من DGSSI

أصدرت المديرية العامة لأمن نظم المعلومات (DGSSI) في 12 نوفمبر 2026 النشرة الإنذارية رقم 71001211/26 بمستوى خطر حرج (Critique). تُحذّر النشرة من حملة هجمات سيبرانية تستهدف برنامج ScreenConnect وتستهدف خصوصًا الشركات التي تقدم خدمات تقنية للمؤسسات (MSP).

آلية استغلال خاصية Run Command

وفقًا لتقارير شركة الأمن الأمريكية Huntress، تم اكتشاف الهجوم في 11 نوفمبر 2026 الساعة 17:47 بتوقيت غرينيتش. خلال 90 دقيقة فقط، سيطر القراصنة على ست شركات MSP وأصدروا أوامر خبيثة إلى 288 حاسوبًا في 48 مؤسسة، أي ما يقارب ثلاث حواسيب في كل دقيقة.

لم يُخرب القراصنة برنامج ScreenConnect نفسه، بل استغلوا خاصية قانونية تُدعى Run Command، التي تسمح للمتقن بإرسال أوامر إلى أي حاسوب موصول بالمنصة. استخدموا هذه الخاصية لإرسال أمر خبيث يُثبت أداة تُدعى SCKit على الأجهزة المستهدفة.

وظائف الأداة الخبيثة SCKit

تؤدي أداة SCKit أربع عمليات خطيرة:

1. استبدال نسخة ScreenConnect الأصلية بنسخة مخصّصة للهاكرز، مما يضمن بقاء القناة المفتوحة.

2. إضافة استثناء في Microsoft Defender لتجنب اكتشاف الأداة.

3. إنشاء مهمة نظامية تسمى TrapWatch تُعيد تشغيل نفسها تلقائيًا إذا أُزيلت.

4. تضمين فخ يُدعى RelayTrap؛ عندما يحاول تقني محاولة فحص جهاز مُصاب، يُستهدف جهاز التقني نفسه ويُخترق.

الإضافات الخارجية الضعيفة (RMM+)

قُرّب الهجوم إلى خمس إضافات من عائلة RMM+، وهي:

• Labtech
• Plus RMM+
• RMM+ Password Link
• … (الإضافات المذكورة في المصدر)

في الإصدارات 1.0.31 و 1.0.32 من هذه الإضافات، لا يتطلب وجود مفتاح وصول صحيح، مما يترك “الباب مفتوحًا” أمام المهاجمين. استهدفت الهجمة إصدارات سحابية من ScreenConnect (الإصدارات 26.6.6.9747 و 26.7.6.9783).

شركة ConnectWise أزالت هذه الإضافات من نحو 400 بيئة، وأكدت أن وجود الإضافة لا يعني بالضرورة وجود اختراق، ولا توجد دلائل على اختراق بنية تحتية داخلية أو ثغرة جوهرية في البرنامج.

التوصيات الأمنية للمنظمات المغربية

استنادًا إلى النشرة الإنذارية، تدعو DGSSI جميع المؤسسات المغربية ومزودي الخدمات التقنية إلى اتخاذ الإجراءات الفورية التالية:

1. إزالة الإضافات الخمسة فورًا، وعدم تشغيلها مرة أخرى إلا بعد توجيه صريح من ConnectWise.

2. تغيير جميع كلمات مرور حسابات ScreenConnect، وإنهاء جميع الجلسات النشطة.

3. تفعيل المصادقة الثنائية (MFA) وتقليل صلاحيات المسؤولين إلى الحد الأدنى.

4. مراجعة سجلات النظام للبحث عن أوامر Run Command غير مألوفة أو تثبيت عملاء غير مصرح به.

5. تجنّب الوصول إلى أجهزة يشتبه في اختراقها عبر ScreenConnect؛ استبدال الأداة بأخرى موثوقة.

6. إدخال مؤشرات الاختراق (IOCs) الواردة في النشرة إلى أنظمة الحماية والاستجابة.

الاستنتاج

يُظهر هذا الهجوم أن خطر الأمن السيبراني لا يقتصر الآن على شركة واحدة، بل يمتد إلى كل من يملك مفاتيح الوصول إلى مؤسسات أخرى. إنّ استغلال برنامج التحكم عن بُعد لتوسيع نطاق الاختراق يُبرز ضرورة مراجعة سياسات الأمان، وتطبيق ممارسات “الحد الأدنى من الامتيازات”، وتفعيل آليات مراقبة مستمرة. المؤسسات التي تتبع توجيهات DGSSI ستقلل من فرص الوقوع ضحية لهذا النوع من الهجمات.