كشفت فرق الاستخبارات التابعة لشركة مايكروسوفت وبالتعاون مع شركة كونيكت وايز (ConnectWise) عن حملة هجمات سيبرانية نشطة تستهدف خوادم وحسابات منصة الدعم الفني عن بعد (ConnectWise ScreenConnect). تعتمد الحملة على استغلال التطبيق الذي يُعد أداة مشروعة للدعم عن بعد، لتثبيت عملاء وصول غير مصرح لهم ونشر دودة برمجية خبيثة متقدمة تُعرف باسم (SCKit) على الأجهزة الطرفية للعملاء.
تبدأ سلسلة الهجوم عبر الخوادم السحابية أو المحلية لمنصة ScreenConnect، حيث يُستغل عميل الوصول لتدشين قناة تحكم واتصال منفصلة عن البنية الأساسية المعتمدة لشركات إدارة الخدمات (MSPs). وتقوم الدودة الخبيثة بنشر مكونات برمجية إضافية مثل ملفات فك التشفير بلغة باورشل وبطاقات التشغيل الآلي، إضافة إلى زرع أداة (RelayTrap) المخصصة لاستهداف محطات عمل فنيي الدعم الفني عندما يتصلون لتقديم المساعدة للمستخدمين المتضررين.
ما الذي يمثله هجوم SCKit عملياً؟
تكمن خطورة هذه الحملة في قدرتها على قلب اتجاه الهجوم التقليدي؛ فبدلاً من اكتفاء المخترقين باختراق الأجهزة الطرفية للعملاء، تستغل دودة SCKit جلسات الدعم والمصادقة النشطة الخاصة بالفنيين للوصول إلى محطات العمل الخاصة بهم. وبمجرد السيطرة على جهاز الفني، يستطيع المهاجمون استخدام وحدات التحكم الإدارية لتوزيع حمولات برمجية خبيثة إلى أجهزة إضافية مدارة، واستخراج بيانات جلسات المتصفح وملفات تعريف الارتباط الحساسة.
أوضحت التحليلات التقنية أن المخترقين يعتمدون على تقنيات معقدة لفك تشفير حزم البيانات باستخدام معرفات الأجهزة (MachineGuid) ومفاتيح مشفرة عبر خوارزميات مثل AES وPBKDF2، فضلاً عن إنشاء مهام مجدولة ومفاتيح تسجيل نظام التشغيل لضمان استمرار وثبات الوصول حتى بعد قطع الاتصالات الأولية.
التدابير الوقائية وإرشادات الحد من المخاطر
أكدت الجهات الأمنية ضرورة التعامل مع الجوانب الخادمية والعميلة للمنصة بشكل منفصل، نظراً لأن إزالة عميل غير مصرح به لا يضمن وحده إزالة ملفات الثبات أو إلغاء جلسات الويب المعرضة للخطر. وتتضمن أبرز خطوات المعالجة والتحقيق التقني:
- تعطيل الإضافات البرمجية المتأثرة المرتبطة بواقعات الثغرات الأمنية واتباع إرشادات المورد الرسمية.
- تحديث عملاء ScreenConnect على محطات الفنيين إلى الإصدارات الآمنة، نظراً لأن تحديث وحدة التحكم السحابية لا يقوم بتحديث العملاء المحليين تلقائياً.
- التحقيق في الأجهزة عبر قنوات مستقلة مثل أداة الاستجابة الحية في مايكروسوفت ديفندر (Microsoft Defender for Endpoint) وعدم الاعتماد على جلسات المنصة المشتبه بها.
- إبطال جلسات الويب المعرضة للخطر، وتدوير بيانات الاعتماد، والتحقق من سجلات الأوامر وأدوات الإدارة المستخدمة.
توفر مايكروسوفت استعلامات متقدمة للبحث والتنقيب عبر منصة Defender XDR لمساعدة المؤسسات على اكتشاف مؤشرات الاختراق المرتبطة بملفات الحمولات وشبكات الاتصال وعناوين IP المرتبطة بالنشاط الضار.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.