حذرت المديرية العامة لأمن نظم المعلومات (DGSSI) بالمغرب، في نشرتها الأمنية الصادرة يوم الخميس 12 نونبر 2026، والتي تحمل الرقم المرجعي 71001211/26، من حملة هجمات سيبرانية كبيرة تستهدف حاليا لوحات الإدارة السحابية لمنصة ConnectWise ScreenConnect، ومزودي الخدمات المعلوماتية المدارة (MSP)، وصنفت مستوى الخطر والتأثير لهذه الهجمات في المستوى "الحرج".
ويأتي تحذير المديرية المغربية تزامنا مع تأكيد دولي لحجم الهجوم. فحسب شركة الأمن السيبراني الأمريكية Huntress، التي رصدت الهجوم أولا يوم 11 نونبر، فإن مهاجمين تمكنوا من السيطرة على لوحات تحكم سحابية تابعة لـ ScreenConnect واستغلوا ميزة "Run Command" لبث أوامر خبيثة بشكل جماعي.
وأوضحت الشركة أن الهجوم مكن المهاجمين من تثبيت نسخ متحكم بها من برنامج ScreenConnect وأداة خبيثة جديدة أطلق عليها اسم "SCKit Worm"، وذلك على ما لا يقل عن 288 حاسوبا موزعة على 48 مؤسسة، في مدة لم تتجاوز 90 دقيقة، ثلثها أصيب في أول 10 دقائق فقط.
من جهتها، أعلنت شركة ConnectWise المطورة للمنصة، في advisory أمني نشرته مساء 11 نونبر، أنها حددت خمس إضافات خارجية قد تكون مرتبطة بهذا النشاط، وقامت بتعطيلها كإجراء احترازي عبر حوالي 400 بيئة شريكة، وهي: Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link و RMM+ Password Link.
وأكدت التحقيقات الأولية أن الثغرة لا توجد في قلب نظام ScreenConnect نفسه، بل في إضافة RMM+ التي تسمح بتجاوز حسابات المستخدمين والمصادقة الثنائية عبر مفتاح وصول مشترك، حيث كانت بعض النسخ تقبل مفتاحا فارغا، مما سمح للمهاجمين بتنفيذ الأوامر عن بعد.
ودعت ConnectWise جميع الشركاء الذين يستخدمون النسخ المحلية (On-Premise) إلى تعطيل هذه الإضافات يدويا وتغيير كلمات المرور، محذرة من أن تعطيل الإضافات قد لا يزيل الوصول الذي تم تأسيسه بالفعل على الأجهزة المصابة.
وتوصي DGSSI والشركات الأمنية جميع المؤسسات المغربية التي تستخدم المنصة المذكورة بالتحقق الفوري من سجلاتها، وتحديث المنصة، ومراقبة أي نشاط غير اعتيادي لبرنامج ScreenConnect.
أضف تعليقك
شارك رأيك بوضوح واحترام. تُراجع التعليقات قبل ظهورها للقراء.