مديرية أمن نظم المعلومات تحذر من حملة اختراقات إلكترونية واسعة بالمغرب
أطلقت المديرية العامة لأمن نظم المعلومات بالمغرب تحذيرا من موجة هجمات إلكترونية منسقة تستهدف البنيات الرقمية لعدد من المؤسسات، عبر استغلال لوحات الإدارة السحابية لبرنامج “ConnectWise ScreenConnect”، الذي تعتمد عليه شركات متخصصة في تقديم خدمات الدعم والتدبير المعلوماتي عن بُعد.
وجاء هذا التحذير ضمن نشرة أمنية أصدرتها المديرية، الخميس 12 نونبر 2026، استنادا إلى معطيات كشفت عنها شركة “ConnectWise”، بشأن تعرض عدد من مزودي الخدمات المعلوماتية المدارة (MSP) لهجمات استهدفت النسخ السحابية من برنامج “ScreenConnect”.
وبحسب المعلومات المتوفرة، تمكن منفذو الهجوم من اختراق لوحات التحكم الإدارية التابعة لما لا يقل عن ستة مزودين للخدمات، قبل استغلالها لإرسال تعليمات ضارة إلى 288 حاسوبا على الأقل، موزعة على 48 مؤسسة، وذلك في ظرف لم يتجاوز 90 دقيقة.
وتشير التحليلات التقنية إلى أن العملية ارتبطت باستخدام مجموعة من الإضافات الخارجية المنتمية إلى عائلة “RMM+” داخل بيئات “ScreenConnect”، ويتعلق الأمر بخمس إضافات تحمل أسماء “Labtech Plus” و”RMM Plus” و”RMM+” و”RMM Plus Password Link” و”RMM+ Password Link”.
وفي إطار التدابير الاحترازية، بادرت الشركة إلى إيقاف هذه الإضافات في الأنظمة التي تتوفر على صلاحية إدارتها، مع التنبيه إلى أن وجودها ضمن بيئة معلوماتية لا يعني بالضرورة تعرضها للاختراق.
وتعتمد الطريقة التي نفذ بها المهاجمون عملياتهم على توظيف خاصية “Run Command”، المتاحة بشكل قانوني داخل البرنامج، لتمرير نسخة إضافية من العميل المعلوماتي تحت سيطرتهم، إلى جانب تثبيت أداة ضارة تحمل اسم “SCKit”.
وتسمح هذه الأداة بإبقاء منفذي الهجوم على اتصال مستمر بالأجهزة المستهدفة، من خلال تثبيت عميل للتحكم عن بُعد وتعويض النسخة الأصلية بأخرى خبيثة، فضلا عن إدخال استثناءات على نظام الحماية “Microsoft Defender”، واستغلال أداة “AppLocker” لعرقلة تشغيل أدوات وأوامر الإصلاح التي تستخدمها فرق الدعم التقني.
ولا تقتصر وظائف الأداة على ذلك، إذ تعمل أيضا على ضمان استمرار الاختراق عبر إنشاء مهمة مجدولة تحمل اسم “TrapWatch”، مع محاولة الاستيلاء على جلسات الدخول الخاصة بمسؤولي الأنظمة والتقنيين، بهدف توسيع نطاق الهجوم والانتقال إلى لوحات تحكم أخرى تابعة لمزودين مختلفين.
ووفقا للمعطيات التقنية المنشورة، تركزت الهجمات بالأساس على البيئات السحابية التي تشغل الإصدارين “26.6.6.9747” و”26.7.6.9783″ من البرنامج.
وفي ما يتعلق بالثغرة التي ربما مهدت لهذه العمليات، يرجح الباحثون وجود ارتباط محتمل بمشكل أمني في إضافة “RMM+”، يشمل الإصدارين “1.0.31” و”1.0.32″، ويتمثل في إمكانية قبول مفتاح وصول فارغ عندما لا يقوم المسؤول بإعداد هذا المفتاح مسبقا.
من جهتها، أكدت شركة “ConnectWise” استمرار التحقيقات لتحديد الكيفية التي تمكن بها المهاجمون من الدخول إلى الأنظمة المستهدفة، وتقييم الحجم الحقيقي للأضرار. كما أوضحت أنها لم تعثر، إلى حدود المعطيات المتاحة، على مؤشرات تدل على اختراق بنيتها التحتية أو وجود خلل أمني في برنامج “ScreenConnect” نفسه، وهو ما يعني أن تحديث البرنامج وحده لا يكفي بالضرورة لمعالجة آثار الاختراق.
وأمام خطورة هذه الحملة، وجهت المديرية العامة لأمن نظم المعلومات مجموعة من التوصيات العاجلة إلى المؤسسات ومزودي الخدمات المعنيين، أبرزها إدراج مؤشرات الاختراق (IOCs) الواردة في النشرة ضمن أنظمة الرصد والحماية، إلى جانب البحث عن الإضافات الخمس المذكورة وتعطيلها فورا، سواء في البيئات السحابية أو الأنظمة المثبتة محليا (On-Premises)، مع الامتناع عن إعادة تشغيلها إلى حين صدور توجيهات جديدة من الشركة المطورة.
كما دعت إلى إنهاء جميع جلسات الاتصال النشطة بلوحات التحكم، وتغيير كلمات المرور، وإبطال رموز المصادقة (Tokens) المرتبطة بالحسابات ومزودي الهوية، مع تقليص عدد المسؤولين المسموح لهم باستخدام وظيفتي “Run Command” و”Shared Toolbox”.
وشددت التوصيات أيضا على ضرورة فحص سجلات الأنشطة والتدقيق للكشف عن أي اتصالات غير مألوفة أو تثبيت لبرامج تحكم غير مرخص بها، وتفادي استعمال “ScreenConnect” للاتصال بأي جهاز تحوم حوله شكوك بشأن تعرضه للاختراق.
ومن بين الإجراءات الإضافية التي أوصت بها المديرية، تجميع السجلات المعلوماتية داخل أنظمة إدارة وتحليل الأحداث الأمنية (SIEM)، بما يتيح إطلاق تنبيهات عند رصد تنفيذ أوامر على أعداد غير معتادة من الأجهزة، فضلا عن التأكد من تثبيت التحديثات المتعلقة بالثغرتين اللتين سبق للمديرية أن أصدرت بشأنهما نشرات تحذيرية.
