من وادي السيليكون، حيث تُعدّ أدوات الإدارة عن بُعد جزءًا من الحياة اليومية لشركات التكنولوجيا، لفت انتباهي التنبيه الصادر عن المديرية العامة لأمن نظم المعلومات (DGSSI) في المغرب بتاريخ 12 نونبر 2026، والمصنّف «حرجًا» من حيث الخطورة والأثر معًا (المرجع 71001211/26)، لسبب بسيط: فهو يبيّن مرة أخرى كيف يمكن لاختراق لدى مزوّد خدمات أن يصيب عشرات المؤسسات في غضون دقائق.
فقد سيطرت حملة منسّقة على لوحات إدارة ستة مزوّدي خدمات معلوماتية مُدارة (MSP) على الأقل، يستخدمون النسخة السحابية من ConnectWise ScreenConnect. وفي 90 دقيقة فقط، أُرسلت أوامر إلى 288 حاسوبًا على الأقل موزعة على 48 مؤسسة عبر العالم، وذلك وفق المعلومات التي نقلتها DGSSI وملاحظات باحثين مثل Huntress. فالأمر لا يتعلق بثغرة مذهلة في البرنامج نفسه، بل باختطاف أدوات مشروعة، مما يطرح مشكلة بنيوية أوسع بكثير بالنسبة للاقتصاد الرقمي.
تنبيه للشركات
لقد أصبح مزوّدو MSP، الذين تعهد إليهم شركات كثيرة بإدارة أجهزتها المعلوماتية، نقاط تركّز للمخاطر. فعبر إسناد الصيانة إلى جهات خارجية، تكسب الشركات في الكفاءة وتخفض تكاليفها الداخلية، لكنها تمنح شركاءها صلاحيات وصول واسعة. وهكذا يمكن لوحة تحكم واحدة مخترَقة أن تصبح منصة انطلاق نحو عملاء متعددين.
يُعدّ ConnectWise ScreenConnect من أكثر الأدوات استخدامًا في هذا المجال للتحكم عن بُعد: فهو يتيح للتقنيين الوصول إلى الأجهزة وتنفيذ الأوامر وإجراء عمليات الصيانة دون الانتقال فعليًا إلى الموقع. وهذه الوظائف، الضرورية في العمل اليومي، تصبح خطيرة عندما يجري تحويلها عن غرضها. وتشدد DGSSI على هذه الآلية تحديدًا: فاختراق محصور في البداية لدى مزوّد واحد قد ينتشر بسرعة عبر شبكات عملائه.
والرهانات الاقتصادية مباشرة. فقد يؤدي الاختراق إلى الوصول إلى بيانات سرية، وتثبيت برمجيات خبيثة إضافية، وتعطيل النشاط، أو التحضير لهجمات فدية. وعلى المستوى الاستراتيجي، فإنه يطرح تساؤلات حول الثقة في سلسلة التوريد المعلوماتية، وهو موضوع حساس للشركات بمختلف أحجامها، من المقاولات الصغرى والمتوسطة إلى المجموعات الكبرى التي تُسند أنظمتها المعلوماتية إلى جهات خارجية. وفي المغرب، يعكس تنبيه DGSSI (التابعة لإدارة الدفاع الوطني) كذلك يقظة وطنية في مواجهة تهديد دولي.
مجريات الحملة ودور SCKit
وفق المعطيات التي جمعتها DGSSI وتحليلات Huntress، استغل المهاجمون وظيفة «Run Command» المشروعة في ScreenConnect لتثبيت عميل اتصال عن بُعد ثانٍ تحت سيطرتهم، مرفقًا بأداة خبيثة تُدعى SCKit. وقد صُمّمت هذه الأخيرة للحفاظ على حضور دائم: إذ يمكنها تثبيت عميل غير مصرّح به، وتعديل إعدادات Microsoft Defender لإضعاف الحماية، واستخدام ميزات في Windows (مثل AppLocker) لحجب بعض أدوات المعالجة التي يستخدمها المسؤولون، وإنشاء مهمة مجدولة باسم «TrapWatch».
كما تتضمن SCKit آليات تهدف إلى استرجاع جلسات الإدارة الخاصة بالتقنيين، بهدف محتمل هو الانتشار نحو لوحات ScreenConnect أخرى. وقد لوحظ جزء من قدرات الانتشار هذه في الشيفرة، وإن لم تُرصد كلها بشكل منهجي أثناء عملها في الحوادث الموثّقة. أما إصدارات ScreenConnect المعنية أساسًا فهي 26.6.6.9747 و26.7.6.9783، وهما نسختان حديثتان.
ويتعلق أحد المسارات قيد الفحص بضعف في المصادقة في بعض إصدارات (1.0.31 و1.0.32) الإضافة الخارجية RMM+. فعندما لا يكون المسؤول قد أعدّ مفتاح وصول قط، قد يقبل النظام مفتاحًا فارغًا، وبذلك يتجاوز آليات المصادقة المعتادة في ScreenConnect (الحسابات والأدوار والمصادقة متعددة العوامل). ويشكّل هذا الضعف مسارًا محتملًا، لكن نقطة الدخول الأولية لم تُحدَّد رسميًا بعد. وتوضح ConnectWise أنه لا يوجد، في هذه المرحلة، ما يسمح بالجزم باختراق بنيتها التحتية أو باستغلال ثغرة في ScreenConnect نفسه. وقد عطّلت الشركة بشكل استباقي عدة إضافات من عائلة RMM+ (Labtech Plus وRMM Plus وRMM+ وRMM Plus Password Link وRMM+ Password Link) في نحو 400 بيئة كان بإمكانها الوصول إليها، مع التذكير بأن مجرد وجودها لا يثبت حدوث اختراق.
أرقام رئيسية عن الحملة
- ستة مزوّدي MSP على الأقل جرى اختراق لوحات الإدارة الخاصة بهم.
- 288 حاسوبًا على الأقل تضررت في 48 مؤسسة.
- انتشار الأوامر خلال 90 دقيقة (مع حصة كبيرة في الدقائق الأولى بحسب ملاحظات Huntress).
- نحو 400 بيئة عطّلت فيها ConnectWise الإضافات على سبيل الاحتياط.
التوصيات وحدود التصحيحات
تدعو DGSSI المؤسسات ومزوّديها إلى التحقق فورًا من وجود هذه الإضافات وتعطيلها، بما في ذلك في التثبيتات المحلية (on-premises)، وعدم إعادة تفعيلها قبل صدور تعليمات جديدة من الناشر. وتوصي بإلغاء جلسات الإدارة النشطة، وتجديد كلمات المرور والرموز المميّزة، وتقييد الصلاحيات على «Run Command» و«Shared Toolbox»، وفحص السجلات بحثًا عن اتصالات غير معتادة أو تثبيتات غير مصرّح بها أو إنشاء حسابات مسؤول، وعدم استخدام ScreenConnect للتحقيق في الأجهزة المشبوهة. ويتعين على الشركات أن تسأل مزوّديها عن أدوات RMM المستخدمة والحسابات التي تملك صلاحيات متقدمة.
ونقطة جوهرية تشدد عليها الجهة: مجرد تحديث البرنامج لا يضمن القضاء على اختراق محتمل، إذ قد تكون آليات بقاء دائم قد ثُبّتت. أما ConnectWise فتواصل من جانبها تحقيقاتها وتدعو شركاءها إلى تأمين بيئاتهم.
في الختام
تذكّر هذه الحملة بنمط معروف في القطاع: فأدوات المراقبة والإدارة عن بُعد (RMM) وأدوات الوصول عن بُعد، المرغوبة لإنتاجيتها، تُركّز مخاطر سلسلة التوريد. وقد أظهرت حوادث سابقة (مثل تلك المرتبطة بحلول إدارة عن بُعد أخرى) أن اختراق MSP يتيح الوصول إلى عملاء كثيرين في وقت واحد. وهنا، تعزز السرعة (90 دقيقة لمئات الأجهزة) وتطور SCKit (البقاء الدائم، وتجاوز الدفاعات، ومحاولة الانتشار عبر التقنيين) من الطابع المستعجل للوضع.
ومن وجهة نظر ConnectWise، يبدو أن الحادث مرتبط بإساءة استخدام إضافات خارجية لا بثغرة في منتجها الأساسي. أما الباحثون فيسلّطون الضوء على ضعف المصادقة في RMM+ وعلى تصميم SCKit. وبتصنيفها التنبيه «حرجًا»، تؤكد DGSSI ضرورة الاستجابة الفورية، وأن أمن أنظمة أي شركة يعتمد أيضًا على أمن شركائها.
بالنسبة للشركات، يتجاوز الرهان الجانب التقني: فالأمر يتعلق بمراجعة العقود مع المزوّدين، وضوابط الوصول، والتجزئة، ومراقبة أنشطة RMM. فاختراق لدى شريك قد يعرّض أنظمة للخطر دون أي إخفاق مباشر في حمايتها الخاصة. وعلى المستوى الكلي، يثير ذلك تساؤلات حول مرونة سلاسل التوريد الرقمية والمسؤولية المشتركة بين الناشرين والمزوّدين والعملاء.
ما زال التحقيق مستمرًا. فالمتجه الأولي الدقيق والنطاق الكامل للحملة لا يزالان قيد التحقيق. وفي سياق تنتشر فيه أدوات الوصول عن بُعد في كل مكان، يدعو هذا التنبيه إلى يقظة معززة تتجاوز مجرد التحديثات.
الأسئلة الشائعة
هل تؤكد DGSSI اختراق البنية التحتية لـ ConnectWise؟
لا. فالجهة تنقل تصريحات ConnectWise التي تفيد بأنه لا يوجد، في هذه المرحلة، ما يسمح بالجزم باختراق بنيتها التحتية أو بوجود ثغرة في ScreenConnect نفسه. ولا تزال نقطة الدخول الأولية قيد التحقيق.
هل يكفي تحديث ScreenConnect لتأمين الأنظمة؟
لا. تشدد DGSSI على أن المهاجمين قد يكونون ثبّتوا آليات بقاء دائم. ومن الضروري إجراء فحص معمّق (تعطيل الإضافات، وإلغاء الجلسات، وتحليل السجلات).
ما المؤسسات الأكثر تضررًا؟
تلك التي تستخدم، أو التي يستخدم مزوّدوها، النسخة السحابية من ScreenConnect مع إضافات من عائلة RMM+ (Labtech Plus وRMM Plus وRMM+ وRMM Plus Password Link وRMM+ Password Link). ويجب كذلك فحص التثبيتات المحلية (on-premises).
ما المخاطر الملموسة على شركة عميلة لدى مزوّد MSP؟
وصول غير مصرّح به إلى الأنظمة، وتثبيت برمجيات خبيثة، وتعطيل الأنشطة، أو التحضير لهجمات أكثر تدميرًا. وهذه المخاطر محتملة وتتوقف على مدى الاختراق لدى المزوّد.
