هجوم إلكتروني "رشّ الرموز" يخترق حسابات Microsoft 365متجاوزا المصادقة متعددة العوامل

هل تكفي المصادقة متعددة العوامل لحماية حساباتنا الرقمية من الاختراق؟

كشفت شركة "Huntress" المتخصصة في الأمن السيبراني عن حملة هجمات إلكترونية استهدفت حسابات "Microsoft 365" في ٧٩ مؤسسة، باستخدام تقنية لاعتراض عمليات تسجيل الدخول وسرقة رموز الجلسات، ما مكّن المهاجمين من اختراق ٩٧ حساباً وتسجيل ٤٨ جهازاً غير مصرح به في بيئات "Microsoft Entra".

اعتمد هذا الهجوم على أسلوب يُعرف باسم "رشّ الرموز" (Token Spraying)، يتيح للمهاجمين إعادة استخدام رموز المصادقة المسروقة للوصول إلى حسابات البريد الإلكتروني دون الحاجة إلى تجاوز المصادقة متعددة العوامل (MFA) مجدداً.

أكثر من ٢٠٠ ألف محاولة تسجيل دخول لاختراق حسابات Microsoft 365

وفقاً لتحليل أجراه باحثو Huntress، أندريا هاتشر وسوزانا مات ومات بوتو وأندرو شوارتز، أن الحملة لم تعتمد على تخمين كلمات المرور، بل على إعادة استخدام رموز تسجيل الدخول التي جرى الاستيلاء عليها من الضحايا، وشملت أكثر من ٢٠٠ ألف محاولة لتسجيل دخول فاشلة بنطاق عناوين الإنترنت "193.26.115[.]0/24". وقد امتدت الأنشطة الهجومية المرصودة، وفق تقرير Huntress من ١٤ يوليو إلى ٢٢ سبتمبر ٢٠٢٦، أسفرت عن ٤٩٧ عملية دخول ناجحة إلى خدمات Microsoft 365 عبر المؤسسات المستهدفة.

كيف استغل المهاجمون تقنية AitM لتجاوز المصادقة متعددة العوامل؟

استندت الهجمات إلى تقنية "الخصم في الوسط" (Adversary-in-the-Middle – AitM)، التي تعتمد على إنشاء صفحة تسجيل دخول مزيفة وسيطة بين المستخدم والبنية التحتية الشرعية لشركة مايكروسوفت وتتيح هذه الآلية اعتراض بيانات الاعتماد ورموز المصادقة متعددة العوامل التي يدخلها الضحايا، ثم تمريرها إلى صفحة تسجيل الدخول الحقيقية.

ما يتيح للقراصنة الحصول على رمز الوصول الذي تصدره مايكروسوفت عقب اكتمال المصادقة، ليتمكن المهاجم من إعادة استخدامه من أجهزته الخاصة خلال دقائق، وتنفيذ محاولات دخول آلية إلى خدمات Microsoft 365 دون تكرار خطوات التحقق متعددة العوامل.

أطلق خبراء الأمن السيبراني من شركة Huntress على هذه التقنية اسم " Token Spraying" أي "رشّ الرموز"، إذ تعتمد على إعادة تشغيل أعداد كبيرة من الرموز المسروقة عبر مؤسسات متعددة، بطريقة مشابهة لهجمات "رشّ كلمات المرور" (Password Spraying).

أوضحت Huntress أن مصادر الرموز لم تقتصر على صفحات الدخول الزائفة التي تعمل وسيطا معتمدتا على تقنية AitM ؛ بل شملت أيضاً التصيد باستخدام رمز الجهاز Device-Code Phishing والهندسة الاجتماعية أثناء عملية تسجيل دخول شرعية.

التلاعب بإعدادات MFA لضمان استمرار الوصول إلى الحسابات

لم تقتصر أنشطة المهاجمين على الاستفادة من جلسات تسجيل الدخول المخترقة، بل امتدت إلى تعديل وسائل المصادقة المرتبطة بالحسابات لضمان استمرار السيطرة عليها.

فبعد الوصول إلى الحسابات المستهدفة، أضاف القراصنة تطبيقات مصادقة خاصة بهم، تتيح لهم الاستجابة لطلبات التحقق عند تسجيل الدخول مجدداً، حتى في حال انتهاء صلاحية رمز الجلسة المسروق أو إلغائه من جانب الضحية. ورصدت Huntress إزالة وسائل المصادقة متعددة العوامل الموجودة مسبقاً وتسجيل وسائل جديدة خلال ثلاث ساعات من أول عملية دخول فيما لا يقل عن ١٩ مؤسسة. وفي إحدى الحالات المسجلة بتاريخ ٢١ يوليو ٢٠٢٦، فعّل القراصنة تطبيق مصادقة جديداً يحمل اسم "iPhone 13"، بعد أقل من ٥١ دقيقة من اختطاف جلسة تسجيل الدخول.

استخدم القراصنة وسيلة أخرى لتعزيز قدرتهم على الوصول المستمر إلى الحسابات، تمثلت في تسجيل أجهزة غير مشروعة داخل Microsoft Entra التابعة للمؤسسات الضحية. وبحسب الباحثين، جرى تسجيل ما لا يقل عن ٤٨ جهاز كمبيوتر مزيفاً، إذ يمكن للجهاز المسجّل أن يتيح لهم طلب رموز جديدة، وأن يبقى في الدليل حتى يُحذف وتكمن خطورة هذا الأسلوب في إمكانية بقاء الأجهزة المسجلة داخل دليل المؤسسة إلى أن يتدخل المسؤولون لحذفها، الأمر الذي يمنح القراصنة نقطة وصول يمكن أن تستمر بعد انتهاء صلاحية الرموز المستخدمة في الاختراق الأولي.

قواعد بريد إلكتروني مخفية لحذف الرسائل وتحويلها

كما كشفت تحقيقات خبراء الأمن السيبراني في شركة Huntress عن لجوء القراصنة إلى إنشاء قواعد مخفية داخل صناديق البريد الإلكتروني للحسابات المخترقة، بهدف التحكم في الرسائل الواردة.واستخدمت هذه القواعد أسماء غير لافتة، مثل "." و"sss" و"ss" و"iT" و",." و"........" و"s" و"d". وصُممت لحذف الرسائل التي تحتوي على كلمات مفتاحية مرتبطة بالرواتب والإيداعات والمكافآت، أو نقلها إلى مجلدات أقل وضوحاً، مثل "RSS Feeds" و"Conversation History". وفي إحدى الحالات، أنشأ القراصنة قاعدة تجعل جميع الرسائل الواردة مقروءة قبل حذفها، ثم استخدموا صندوق البريد المخترق لإرسال رسائل بريد إلكتروني عشوائية إلى مئات العناوين الخارجية غير تابعة للمؤسسة المخترقة.واستمر هذا النشاط إلى أن صنّفت خدمة "Microsoft Entra ID Protection" الحساب ضمن فئة المخاطر المرتفعة.

تتبع البنية التحتية للهجوم وعلاقتها بعناوين IP مشبوهة

بدأ رصد الحملة من عنوان إنترنت IP من دولة رومانيا هو "193.26.115[.]221»، حيث تشير بيانات منصة "VirusTotal" إلى استخدامه بواسطة حصان طروادة للوصول عن بُعد يُعرف باسم "AsyncRAT". ويرتبط هذا العنوان بمزود استضافة في ألمانيا يحمل اسم "1337 Services GmbH". وبحسب بيانات منصة "GreyNoise" جرى تحديد ٢٩ عنوان IP مرتبطاً بمزود الاستضافة، صُنّف ١٠ منها على أنها خبيثة، بينما اعتُبرت خمسة عناوين أخرى مشبوهة.

توصيات أمنية لحماية حسابات Microsoft 365 من هجمات Token Spraying

قدمت شركة Huntress مجموعة من الإجراءات للمؤسسات التي تشتبه في تعرض حساباتها لهجمات إعادة استخدام رموز المصادقة، بهدف احتواء الاختراق ومنع استمرار الوصول غير المصرح به.

• إلغاء جلسات تسجيل الدخول النشطة وإعادة تعيين كلمات المرور للحسابات المتأثرة.
•  مراجعة الأجهزة المسجلة في Microsoft Entra للكشف عن أي أجهزة غير معروفة أو غير مصرح بها.
•  تدقيق وسائل المصادقة متعددة العوامل (MFA) للتحقق من عدم إضافة تطبيقات مصادقة غير مشروعة.
•  فحص قواعد البريد الإلكتروني والتطبيقات المؤسسية بحثاً عن أي قواعد غير متوقعة أو تطبيقات جديدة.
•  تقييد آلية تسجيل الدخول باستخدام رموز الأجهزة من خلال سياسات الوصول المشروط (Conditional Access).

كما شدد الباحثون على أهمية سياسات الوصول المشروط (CAP) في معالجة بعض الثغرات الأمنية التي لا تستطيع المصادقة متعددة العوامل وحدها تغطيتها، بشرط تنفيذ هذه السياسات بالشكل الصحيح.وأوصوا بأن تفرض المؤسسات المصادقة متعددة العوامل أو تحظر الوصول بصورة غير مشروطة عبر جميع المستخدمين والتطبيقات السحابية وأنواع تطبيقات العميل.

يمكن الاستماع لـ "بودكاست النشرة الرقمية" على مختلف منصات البودكاست. الرابط للبودكاست على منصة أبل

للتواصل مع نايلة الصليبي عبر صفحة برنامَج"النشرة الرقمية"من مونت كارلو الدولية على لينكد إن وعلى تويتر salibi@  وعلى ماستودون  وبلوسكاي عبر موقع مونت كارلو الدولية مع تحيات نايلة الصليبي