رصدت شركة Huntress ارتفاعاً قدره 155 مرة في هجمات رش كلمات المرور خلال النصف الأول من 2026، في موجة استفادت من بيانات اعتماد مسربة ومن مسارات مصادقة قديمة لا تخضع دائماً لحماية المصادقة متعددة العوامل (MFA). وشملت أبرز الحالات حملة استهدفت أداة Azure CLI التي يستخدمها مسؤولو الأنظمة لإدارة موارد Azure وEntra.
صدر النشاط من نطاق IPv6 تسيطر عليه شركة استضافة الإنترنت LSHIY LLC. وبدأت الحملة قبل أشهر، لكن Huntress سجلت في منتصف يونيو أكثر من 81 مليون محاولة تسجيل دخول مرتبطة بها خلال أسبوعين، انتهت إلى اختراق 78 حساباً. ولم ترصد الشركة نشاطاً لاحقاً بعد الاختراقات المرتبطة بهذه الحملة، فيما رجّح Rich Mozeleski، مدير المنتجات في Huntress، أن يكون المهاجم بصدد التحقق من صلاحية بيانات الاعتماد تمهيداً لإعادة بيعها في الويب المظلم.
كيف نُفذت الهجمات؟
يعتمد رش كلمات المرور على تجربة عدد محدود من كلمات المرور الشائعة أو المسربة على حسابات كثيرة، بدلاً من محاولة عدد كبير من الكلمات على حساب واحد، وهو أسلوب يساعد المهاجم على تجنب حدود الإقفال والتنبيهات المباشرة. عادةً تبدأ العملية بجمع أسماء مستخدمين صحيحة من مواقع الشركات وLinkedIn وتسريبات البيانات وحملات التصيد، ثم إعداد قائمة قصيرة من كلمات المرور المعروفة أو المرتبطة باسم الشركة أو بالمواسم.
- جمع أسماء المستخدمين المحتملين.
- إعداد قائمة محدودة من كلمات المرور المسربة أو الشائعة.
- تجربة كلمة مرور واحدة على حسابات متعددة وبوتيرة منخفضة.
- استخدام الحساب المخترق في التحرك الجانبي أو اختراق البريد التجاري أو سرقة بيانات إضافية.
ووفق Huntress، جمعت حملة LSHIY بين نطاق واسع من المحاولات وإعادة استخدام أزواج صحيحة من أسماء المستخدمين وكلمات المرور المسربة سابقاً، والتي لم تُغيّر بعد. لذلك كانت المحاولة الناجحة أكثر قيمة من تخمين عشوائي لكلمة مرور.
الثغرة في مسار المصادقة
استغل المهاجمون أيضاً آلية Resource Owner Password Credentials، المعروفة اختصاراً بـ ROPC، وهي منحة OAuth قديمة أُوقفت في OAuth 2.1. ترسل هذه الآلية اسم المستخدم وكلمة المرور مباشرة إلى نقطة النهاية /token، ولا توفر تدفقات المصادقة الحديثة مثل MFA أو الدخول الموحد (SSO) ولا تعرض مطالبة تفاعلية بالمصادقة متعددة العوامل.
عملياً، يعني ذلك أن كلمة مرور معاد استخدامها وما زالت فعالة قد تتحول إلى جلسة وصول نشطة حتى عندما تكون المؤسسة قد فعّلت MFA عبر سياسة وصول مشروط (CAP)، إذا لم تشمل السياسة مسار ROPC تحديداً. ووصف Andrew “Spike” Brandt، قائد حوادث استخبارات التهديدات الرئيسي في Huntress، هذه الآلية بأنها «طريقة انتحال» من الناحية التقنية، رغم تسميتها طريقة تفويض.
ما الذي يتغير عملياً؟
توضح الحملة أن تفعيل MFA بصورة عامة لا يضمن حماية كل مسارات تسجيل الدخول. فالمسارات القديمة أو الاستثناءات غير المشمولة بسياسات الوصول قد تمنح بيانات اعتماد مسربة فرصة لتجاوز الحماية التفاعلية. وذكرت Huntress أن LSHIY أوقفت الهجمات لاحقاً من نطاق IP الأصلي، وأكدت أن المهاجم استخدم خدمة إحضار عنوان IP الخاص بالعميل (BYOIP) التابعة لها.