أصدر فريق رصد التهديدات السيبرانية في شركة مايكروسوفت (Microsoft Threat Intelligence) تحليلاً تفصيلياً لاثنين من الاختراقات السيبرانية واسعة النطاق التي نفذها مهاجمون بشريون، وتعتمد على خداع المستخدمين عبر تطبيقات التواصل الاجتماعي ومنصات العمل المشترك مثل مايكروسوفت تيمز (Microsoft Teams) للوصول إلى البنية التحتية لشبكات المؤسسات.
بدأت الحوادث المرصودة باستخدام رسائل ومكالمات احتيالية تنتحل صفة طاقم الدعم الفني أو مكتب المساعدة (Help Desk)، مستخدمة هندسة اجتماعية متقدمة لإقناع المستخدمين بمنح صلاحيات وصول تفاعلي عن بُعد، غالباً عبر أداة المساعدة السريعة (Quick Assist). وبمجرد إنشاء الاتصال، عمد المهاجمون إلى نشر بيئات تشغيل محمولة مثل بايثون (Python) أو بون (Bun) أو جافا (Java)، وإجراء عمليات استكشاف للأجهزة والشبكة، وتقييم خدمات شهادات أكتيف ديريكتوري (AD CS) للبحث عن مسارات مصادقة تعتمد على الشهادات.
مسارات هجوم متباينة عبر طبقة الشهادات
على الرغم من تطابق مرحلة الوصول الأول، تفرعت الهجمات عند طبقة الشهادات إلى مسارين رئيسيين:
- الحالة الأولى (ESC1): استغل المهاجم قالب شهادات مصاباً بثغرة التكوين الأمنية ESC1 للحصول على شهادات مصادقة لحسابات ذات صلاحيات واسعة، وتنفيذ عملية مزامنة وحدة التحكم (DCSync).
- الحالة الثانية (ESC8): استخدم المهاجم تقنية بوتيبوتام (PetitPotam) لإجبار خادم النطاق على المصادقة مع نظام يتحكم فيه المهاجم، ثم قام بإعادة توجيه مصادقة (NTLM) الخاصة بوحدة التحكم إلى خدمة تسجيل شهادات الويب (AD CS Web Enrollment)، مستخرجاً شهادة لحساب خادم النطاق واستخدامها لمصادقة كيربيروس (PKINIT).
لماذا يهم هذا الخبر؟
تكمن خطورة هذه الأنماط الهجومية في قدرتها على تحويل جلسة دعم عن بُعد وافق عليها المستخدم إلى وصول دائم ومدعوم بشارات مصادقة لكيانات ذات امتيازات عالية وبنية النطاق الأساسية. وأشارت مايكروسوفت إلى أن الهجمات لم تستغل ثغرات برمجية داخل مايكروسوفت تيمز نفسه، بل اعتمدت كلياً على خداع المستخدمين وثغرات الإعدادات المفرطة السماح في خدمات شهادات Active Directory.
تدابير الوقاية والتحقيق المقترحة
تقدم مايكروسوفت مجموعة من التوصيات للفرق الأمنية للحد من هذه المخاطر، تشمل:
- التحقق الإلزامي من طلبات الدعم غير المألوفة عبر قنوات اتصال داخلية معروفة قبل بدء جلسات التحكم عن بُعد.
- تطبيق سياسات التحكم في التطبيقات (App Control for Business) لتقييد تشغيل بيئات التشغيل المحمولة من مجلدات قابلة للكتابة بواسطة المستخدمين.
- مراجعة وتأمين إعدادات خوادم شهادات Active Directory وتطبيق إرشادات التخفيف ضد هجمات إعادة توجيه (NTLM Relay) وفق توثيق مايكروسوفت الرسمي (KB5005413).
- تفعيل التدقيق المتقدم لخدمات الشهادات ومراقبة أحداث تسجيل الدخول والشهادات غير المصرح بها.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.