كشفت شركة الأمن السيبراني Huntress عن حملة هجومية واسعة استهدفت مئات الأجهزة التابعة لعشرات العملاء الذين يستخدمون منصة ConnectWise ScreenConnect. تم رصد الهجوم في 11 نوفمبر، حيث استغل المهاجمون وصولاً غير مصرح به إلى لوحات تحكم ScreenConnect المستضافة سحابياً لتنفيذ أوامر برمجية مباشرة على الأجهزة المدارة.
تفاصيل الاختراق وسرعة الانتشار
أفادت التقارير أن الحملة طالت ما لا يقل عن 6 مزودي خدمات مدارة (MSPs) و288 مضيفاً موزعين على 48 منظمة مختلفة. وما يثير القلق هو الكفاءة العالية للمهاجمين، حيث تمكنوا من اختراق جميع الأجهزة المستهدفة (288 جهازاً) في غضون 90 دقيقة فقط.
ثغرة ملحق RMM+ والبرمجية الخبيثة SCKit
اعتمد المهاجمون في هجومهم على استغلال ثغرة أمنية في ملحق RMM+، وهو ملحق خارجي يُستخدم لإدارة جلسات ScreenConnect. تكمن المشكلة في الإصدارين 1.0.31 و1.0.32، حيث كان مفتاح الوصول (access key) يُترك فارغاً بشكل افتراضي إذا لم يقم المسؤول بتكوينه، مما سمح للمهاجمين بتجاوز عملية المصادقة ببساطة عبر إرسال قيمة فارغة.
أدى هذا الاختراق إلى نشر مجموعة أدوات برمجية خبيثة تُعرف باسم SCKit، والتي توفر القدرات التالية:
- توفير وصول دائم عبر أبواب خلفية (backdoors).
- اعتراض ملفات تعريف الارتباط الخاصة بالجلسات (session cookies).
- القدرة على التكاثر الذاتي داخل الشبكة.
تعمل البرمجية عبر انتظار اتصال الفني بالجهاز المصاب، لتنتقل بعدها إلى محطة عمل الفني وتحاول اختراق الجلسات الأخرى التي يمتلك صلاحية الوصول إليها، مما يسهل عملية الانتشار العرضي داخل المؤسسة.
لماذا يمثل هذا الخبر أهمية تقنية؟
تكمن الخطورة في استهداف أدوات الإدارة عن بُعد (RMM)، التي تُعد من أكثر الأدوات حساسية في البنية التحتية التقنية. إن استغلال "إضافات" (Extensions) طرف ثالث لتجاوز المصادقة يبرز فجوة أمنية شائعة؛ حيث تُضاف هذه الأدوات لأغراض مؤقتة ثم تُترك دون تحديث أو مراقبة دقيقة. كما أن سرعة الهجوم تشير إلى قدرة المهاجمين على استغلال أخطاء التكوين الافتراضي (Default configurations) للوصول السريع والواسع قبل اكتشاف الاختراق.
الاستجابة والإجراءات المتخذة
استجابةً للتهديد، قامت شركة ConnectWise بتعطيل خمسة ملحقات من عائلة RMM+ في حوالي 400 بيئة عمل، بما في ذلك Labtech Plus وRMM Plus وRMM+. كما أوصت الشركات المتضررة بتعطيل هذه الملحقات في عمليات النشر المحلية (on-premises) كإجراء احترازي فوري.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.