شهدنا مؤخرًا حادثة أمنية مقلقة حيث استغل قراصنة ثغرة في إضافة طرف ثالث لبرنامج ScreenConnect لنشر برمجيات خبيثة على ما لا يقل عن 288 جهازًا ضمن 48 منظمة مختلفة. هذه التطورات دفعت ConnectWise، الشركة الأم لـ ScreenConnect، إلى تعطيل عدد من الإضافات في مئات بيئات العملاء في محاولة لاحتواء الهجوم.
تفاصيل الهجوم ونقطة الضعف
أطلقت شركة الأمن Huntress الإنذار الأربعاء، محذرة من حملة نشطة تستهدف نسخ ScreenConnect المستضافة على السحابة. رصدت Huntress الهجمات في حوالي الساعة 17:47 بالتوقيت العالمي المنسق، حيث بدأ المخترقون باستخدام ميزة الأوامر عن بُعد في ScreenConnect لتثبيت عملاء خبيثين على الأجهزة. تم اختراق جميع الـ 288 نقطة طرفية في غضون 90 دقيقة فقط، مع تعرض حوالي ثلثها للخطر في أول عشر دقائق.
تضمن الهجوم نشر حزمة برمجيات خبيثة مكونة من 16 ملفًا أُطلق عليها اسم SCKit، والتي تقوم بتثبيت عميل ScreenConnect منفصل للحفاظ على الوصول عن بُعد حتى لو تم قطع الاتصال الشرعي. وتم تتبع النشاط إلى ضعف محتمل في المصادقة ضمن RMM+، وهي إضافة طرف ثالث تسمح لأدوات الإدارة الأخرى بإصدار أوامر عبر ScreenConnect دون الحاجة إلى وحدة تحكم فني. تحتوي الإصدارات 1.0.31 و 1.0.32 من الإضافة على خلل يسمح بقبول مفتاح وصول فارغ إذا لم يتم تكوينه، مما يمكّن المهاجمين من تنفيذ الأوامر دون تجاوز المصادقة متعددة العوامل (MFA). وقد أكدت Huntress أن الهجمات أثرت على إصدارات ScreenConnect 26.6.6.9747 و 26.7.6.9783.
استجابة ConnectWise والمخاطر الإضافية
أقرت ConnectWise بإمكانية تورط إضافات الطرف الثالث وأعلنت عن تحقيقها في وصول غير مصرح به إلى بيئات بعض الشركاء، حيث حددت حوالي 400 تثبيت تحتوي على إضافة واحدة على الأقل من عائلة RMM+. وقد قامت الشركة بتعطيل خمس إضافات، بما في ذلك RMM+ و RMM Plus، وحثت العملاء الذين يديرون خوادم ScreenConnect الخاصة بهم على فعل الشيء نفسه. أكدت ConnectWise أنه لا يوجد دليل على اختراق البنية التحتية الخاصة بها أو وجود ثغرة في برنامج ScreenConnect نفسه.
برمجيات SCKit الخبيثة تحمل خدعة إضافية: فهي مصممة لتحويل أي جهاز مصاب إلى فخ للفني الذي يحاول التحقيق فيه. إذا اتصل الفني عبر ScreenConnect، تحاول الحزمة نقل البرمجيات الخبيثة إلى محطة عمل الفني وسرقة ملفات تعريف الارتباط (authentication cookies)، واستخدام وصول الفني لإصابة أجهزة أخرى. رغم أن Huntress لم ترصد نجاح هذا الجزء من الهجوم بعد، إلا أنه يمثل خطرًا حقيقيًا. ومن المثير للاهتمام أن Huntress تشتبه في أن بعض شيفرة C# الخاصة بالبرمجيات الخبيثة قد تم إنشاؤها باستخدام نموذج لغوي كبير (LLM)، بسبب التعليقات التفصيلية غير العادية التي تشرح وظيفة الكود.
تنصح Huntress و ConnectWise مديري الأنظمة بعدم استخدام ScreenConnect للتحقيق في الإصابات المشتبه بها، حيث يمكن أن يعرض ذلك جهاز الفني للخطر. يجب استخدام أدوات أمان أخرى للتحقيق في الأجهزة المتأثرة، والبحث عن عملاء ScreenConnect الخبيثين، والتحقق من الأوامر التي تم تنفيذها. كما يجب إزالة أي برمجيات خبيثة متبقية بالكامل قبل إعادة تشغيل الأجهزة المتضررة.
ماذا يعني هذا للمطورين ومحترفي تكنولوجيا المعلومات؟
تُسلط هذه الحادثة الضوء على الأهمية القصوى لتقييم أمان إضافات الطرف الثالث التي نستخدمها في بيئات العمل. برأينا، لا يكفي التركيز على أمان المنتج الأساسي فقط، بل يجب أن يمتد التدقيق ليشمل كل مكون في السلسلة الرقمية. يجب على المطورين ومحترفي تكنولوجيا المعلومات تطبيق سياسات صارمة للمصادقة، حتى مع الأدوات التي قد تبدو داخلية أو أقل أهمية، والتأكد من تفعيل المصادقة متعددة العوامل في كل مكان ممكن، وعدم الاعتماد على مفاتيح الوصول الفارغة. كما أن هذه الحادثة تذكير بأن تعطيل الإضافات أو إعادة تعيين كلمات المرور قد لا يكون كافيًا لإزالة البرامج غير المصرح بها، بل يتطلب الأمر استجابة شاملة ومعمقة للحوادث الأمنية.
المصدر: theregister.com