كشفت Microsoft Threat Intelligence عن حملة اختراق تبدأ برسالة أو مكالمة عبر Microsoft Teams من جهة خارجية تنتحل صفة موظفي تقنية المعلومات أو مكتب المساعدة. يحاول المهاجم إقناع الموظف بتجاوز تحذيرات جهة الاتصال الخارجية ومنحه تحكماً تفاعلياً بالجهاز عبر أدوات مثل جلسات الدعم عن بُعد أو Quick Assist، ثم يستخدم PowerShell لتنزيل حزمة MSI خبيثة وتثبيتها بصمت.
لا تستغل الحملة ثغرة تقنية في Microsoft Teams، وفق Microsoft، بل تعتمد على الهندسة الاجتماعية وإقناع المستخدم بتجاوز وسائل الحماية الموجودة. وتكمن خطورتها في أن نقطة الدخول تبدو كإجراء دعم مألوف، بينما تمنح المهاجم وصولاً تفاعلياً مدعوماً ببيانات اعتماد المستخدم إلى جهاز داخل المؤسسة.
سلسلة هجوم تستخدم أدوات موثوقة
بعد تثبيت حزمة MSI، تضع الحملة مُحمّلاً نصياً وملفاً مشفراً يحتوي على غرسة JavaScript داخل مجلد LocalAppData. وإذا لم يكن Node.js مثبتاً على الجهاز، تُنزّل الحزمة نسخة محمولة شرعية من بيئة التشغيل من التوزيع الرسمي لـ Node.js، ثم تستخدمها لفك تشفير الغرسة وتشغيلها.
تُطلق العملية عبر PowerShell أو cmd.exe أو WScript، وتستخدم آليات استمرارية لكل مستخدم، مثل قيمة Run في السجل أو اختصار داخل مجلد Startup باسم EdgeUpdate. ويتصل الغرس بالتحكم والسيطرة عبر طلبات HTTPS دورية عشوائية، ويتلقى مهام JavaScript قادرة على تنفيذ أوامر، وفحص الجهاز وبرامج الحماية والبيئة الافتراضية، والتقاط صور دورية لسطح المكتب.
احتوت العينات التي حللتها Microsoft أيضاً على منطق غير مُفعّل للاستعلام عن عقدة ذكية على شبكة Ethereum للحصول على عنوان محدث لخادم التحكم والسيطرة. وأوضحت الشركة أن العقدة لا تخزن الحمولة الخبيثة ولا تنفذها، وأن العينات المستردة استخدمت عنواناً احتياطياً ثابتاً.
من الجهاز المصاب إلى أنظمة الهوية
لا يتوقف النشاط عند تثبيت الغرسة. فقد استخدم المشغلون أوامر أصلية واستعلامات ADSI لحصر حسابات النطاق والخوادم والمستخدمين، ثم نفذوا حمولات إضافية عبر rundll32.exe. بعد ذلك بدأت الغرسة اتصالات WinRM عبر المنفذ TCP 5985 إلى عدد كبير من الأنظمة المنضمة إلى النطاق، شملت خوادم ملفات وقواعد بيانات وتطبيقات، إضافة إلى وحدات تحكم النطاق وسلطات إصدار الشهادات.
يمثل هذا الانتقال تحولاً عملياً من خداع مستخدم واحد إلى محاولة توسيع السيطرة داخل المؤسسة. ولا تثبت المادة أن الحملة نشرت برمجيات فدية أو سرقت بيانات فعلاً، لكنها تشير إلى أن الاستطلاع والتحرك نحو أنظمة الهوية يتوافقان مع مراحل تسبق أهدافاً لاحقة مثل سرقة البيانات أو الابتزاز أو نشر الفدية.
لماذا يهم هذا الخبر؟
توضح الحملة أن الثقة في أداة شرعية قد تصبح أخطر من ملف تنفيذي غير معروف. فوجود Microsoft Teams وNode.js وWindows Installer وWinRM ضمن السلسلة لا يعني أن هذه الأدوات خبيثة، لكنه يجعل الاعتماد على قوائم البرامج المسموح بها وحدها غير كافٍ. المؤشر الأهم هو تتابع سلوكي غير معتاد: اتصال خارجي عاجل، ثم جلسة دعم عن بُعد، يليها تشغيل PowerShell أو cmd.exe، وتثبيت MSI أو تشغيل Node.js من مسار قابل للكتابة من المستخدم.
توصي Microsoft بالتحقق من أي طلب دعم خارجي عبر قناة داخلية معروفة، وتقييد التعاون الخارجي في Teams إلى نطاقات موثوقة، وفرض المصادقة متعددة العوامل والوصول المشروط، ومراقبة أدوات الدعم عن بُعد. كما تقترح تفعيل قواعد تقليل سطح الهجوم وحماية الشبكة والويب، وقصر WinRM على محطات الإدارة المصرح بها والتنبيه عند تشغيله من سياق مستخدم أو عملية غير إدارية.
على المؤسسات التي تعثر على مؤشرات مرتبطة بهذه الحملة أن تتعامل مع الجهاز المتأثر باعتباره نقطة وصول محتملة إلى الشبكة، وأن تعطي أولوية للتحقيق وتدوير بيانات الاعتماد التي كان يمكن الوصول إليها منه، بما في ذلك حسابات مسؤولي النطاق عند الاقتضاء.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.