تتزايد تهديدات الأمن السيبراني مع تطور أساليب الهجوم، حيث يقوم المهاجمون باستغلال برامج الإدارة الشرعية مثل MSP360 لنشر أدوات خبيثة.
هجمات التصيد الاحتيالي تستغل MSP360 لنشر ScreenConnect
حذرت مايكروسوفت من حملات تصيد احتيالي تقوم بتوزيع مثبت برنامج MSP360 لإدارة ورصد الأجهزة (RMM) تحت ستار دعوات للاجتماعات، ومواضيع تتعلق بملفات PDF، وتنبيهات لتحديثات البرامج، ومحتوى آخر يعتمد على الهندسة الاجتماعية.
قال فريق أبحاث الأمن في مايكروسوفت: “بمجرد تنفيذ المثبت الشرعي لـ MSP360، الذي تم توزيعه تحت اسم ملف مضلل، تم تأسيس وصول إدارة عن بُعد على الأجهزة المتأثرة، مما مكن المهاجمين من الحصول على موطئ قدم أولي باستخدام برنامج إداري موثوق”.
يتم استخدام الموضع الأولي بعد ذلك لتنزيل وتثبيت عميل ConnectWise ScreenConnect، مما يوفر للقراصنة قناة وصول عن بُعد إضافية لنقاط النهاية المخترقة. يتم استغلال الوصول بعد ذلك لتسليم أدوات إضافية وتنفيذ عمليات جمع المعلومات والوصول إلى بيانات الاعتماد. لم يتم نسب هذه الأنشطة إلى أي جهة تهديد معروفة أو مجموعة.
سلسلة الاختراق متعددة المراحل
تبدأ سلسلة الاختراق التي اكتشفتها مايكروسوفت في يوليو 2026 برسائل تصيد تحتوي على مثبت MSP360 RMM v2.5.0.67 الموقعة رقمياً تحت أسماء مضللة مثل:
- VIP_ECARD_INVITATION_rmm_v2.5.0.67_oid[محجوب].exe
- ZoomSetup_Installation_v2.5.0.67_oid[محجوب].exe
- PDF Reader & Editor the Adobe Acrobatte_rmm_v2.5.0.67_oid[محجوب].exe
- RSVP_INVITATION_E_CARD_rmm_v2.5.0.67_oid[محجوب].exe
- SSA.GOV_STATEMENT_rmm_v2.5.0.67_oid[محجوب].exe
تُخزن حزم المثبت على بنية تحتية تسيطر عليها المهاجمون وخدمات سحابية شرعية تشمل Amazon S3 وCloudflare R2 وDropbox وGitLab وSupabase.
بمجرد تشغيل المثبت، يسقط عدة ملفات DLL، بينما يعيد تشغيل نفسه من خلال استدعاء عملية رفع مستوى التحكم في حساب المستخدم (UAC) لتشغيله في سياق مميز، وتأسيس وصول دائم من خلال نشر MSP360، واستخدام أداة RMM لتنفيذ PowerShell لتثبيت ScreenConnect بشكل سري.
كما يقوم المثبت بتعداد أطر عمل .NET المثبتة ويسجل خدمتين في ويندوز (RMM.Agent.exe وRMM.Agent.Launcher.exe) وينشئ إدخالات تشغيل تلقائي في السجل لضمان تشغيل MSP360 تلقائيًا عند تسجيل دخول المستخدمين إلى الجهاز.
علاوة على ذلك، يقوم بتعديل إعدادات جدار حماية ويندوز للسماح بحركة المرور الواردة عبر UDP إلى MSP360 (أي RMM.Agent.exe) على المنفذ 48678.
الهجوم المزدوج على الوصول عن بُعد
يمكن الهجوم المزدوج على الوصول عن بُعد المهاجم من نقل برامج تنفيذية إضافية وتسهيل الأنشطة بعد الاختراق، بينما يتم تمويه الأنشطة الخبيثة ضمن سير العمل العادي للإدارة عن بُعد. يتم تشغيل الحمولة من خلال وظيفة RunFile الأصلية في ScreenConnect.
قالت مايكروسوفت إنها رصدت أيضًا مجموعة منفصلة من الهجمات في يوليو 2026 التي استبدلت MSP360 بعميل Faronics Deploy للبحث عن وسيلة للدخول، ثم استخدمته لتنزيل وتثبيت ScreenConnect. وهذا يشير إلى أن المهاجمين يستخدمون أدوات RMM متعددة للوصول عن بُعد.
“تسلط هذه الأنشطة الضوء على كيفية استمرار المهاجمين في استغلال برامج الإدارة عن بُعد الشرعية للاندماج في العمليات العادية لتكنولوجيا المعلومات مع الحفاظ على الوصول الدائم وتقليل فرص الكشف”، قالت مايكروسوفت.
“إن الجمع بين MSP360 وScreenConnect منح المهاجم قناة إدارة عن بُعد إضافية ومكن من نقل وتنفيذ وإدارة أدوات إضافية خلال مراحل الاختراق اللاحقة.”
من المهم أن تكون على دراية بأساليب الهجوم الحديثة وأن تتخذ الاحتياطات اللازمة لحماية أنظمتك من هذه التهديدات المتزايدة.
