Knight Office يوضح لماذا سرقة جلسات Microsoft 365 هي حادث هوية كامل

تُظهر حملة Knight Office أن المصادقة متعددة العوامل (MFA) تتحقق من عملية تسجيل الدخول، لكنها لا تحمي تلقائياً كل جلسة تُنشأ بعد نجاح تلك العملية. ففي الواقعة التي وثقتها Huntress، استخدم المهاجم تصيّداً بأسلوب الخصم في الوسط (AiTM) لالتقاط بيانات جلسة Microsoft 365، ثم سُجِّل جهاز غير مصرّح به في Microsoft Entra ID. لذلك فالتوصيف التشغيلي الصحيح ليس «سرقة كلمة مرور» فحسب، بل اختراق هوية. 640

كيف يعمل مسار الهجوم؟

بدأت السلسلة برسالة تصيّد تحاكي DocuSign. مر الرابط عبر خدمة تتبع تابعة لـ Monday.com، ثم عبر موقع Joomla مخترق، لإخفاء صفحة التصيّد النهائية عن فحوص السمعة والمراجعة البسيطة للروابط داخل البريد. 6

في مرحلة الصفحة المقصودة، قد يُدفع الضحية إلى متابعة مسار يبدو مألوفاً لتسجيل الدخول إلى Microsoft أو للتعاون، بما في ذلك تفاعل يشبه إدخال رمز مصادقة جهاز. والهدف هو حمله على إتمام مصادقة يعتقد أنها مشروعة.

يعمل مكوّن AiTM كوكيل عكسي بين الضحية وخدمة تسجيل الدخول الحقيقية لدى Microsoft:

1. يُدخل الضحية بيانات اعتماده ويجتاز تحدي MFA المعتاد.
2. يمرّر الوكيل هذه التفاعلات إلى Microsoft لحظياً.
3. بعد نجاح المصادقة، يلتقط المهاجم ملف تعريف ارتباط الجلسة أو مادة رمز أخرى تُعاد إلى المتصفح.
4. يعيد المهاجم تشغيل هذه الحالة الموثقة من بنيته التحتية للوصول إلى الحساب.

هذا لا يعني أن المهاجم اخترق تشفير MFA. بل سرق حالة التفويض التي أُصدرت بعد MFA. وتعرّف Microsoft سرقة الرموز بأنها اختراق الرموز الصادرة لمستخدم وإعادة تشغيلها، حتى إن كان المستخدم قد استوفى المصادقة متعددة العوامل. 40

لماذا لا تكفي إعادة تعيين كلمة المرور؟

قد تتيح الجلسة المسروقة في المتصفح، أو الوصول المستمد من رمز تحديث، للمخترق الاستمرار من دون طلب كلمة مرور أو تحدي MFA جديد، إلى أن تُبطل الرموز ذات الصلة. وتوصي إرشادات Microsoft بشأن سرقة الرموز بحظر المستخدمين أو الأجهزة المتأثرة وإلغاء الرموز الحالية. 40

وتزداد خطورة Knight Office لأن النشاط اللاحق للاختراق تضمن، بحسب التقرير، تسجيل جهاز غير مصرّح به في Microsoft Entra ID وإعداد بيانات اعتماد Windows Hello for Business تحت سيطرة المهاجم. 6 وقد يفتح ذلك مسار مصادقة منفصلاً؛ لذا لا يكفي إبطال جلسة الويب أو تغيير كلمة المرور من دون التحقق من عدم بقاء جهاز غير مصرح به أو وسيلة مصادقة جديدة.

وثّقت Microsoft نمط بقاء مماثلاً في أبحاث تصيّد رموز الأجهزة: إذ يمكن استخدام رمز تحديث جرى الحصول عليه عبر إساءة استخدام تدفق رمز الجهاز لطلب وصول لتسجيل جهاز، ثم تسجيل جهاز يسيطر عليه المهاجم داخل Entra ID. 28

تصيّد رمز الجهاز مرتبط بـ AiTM، لكنه ليس الشيء نفسه

يعترض تصيّد AiTM عملية تسجيل دخول حية ويسرق الجلسة الناتجة. أما تصيّد رمز الجهاز فيسيء استخدام تدفق تفويض الأجهزة الشرعي في OAuth: يبدأ المهاجم طلب رمز جهاز من عميل يسيطر عليه، ثم يخدع الضحية لإدخال الرمز والمصادقة، فيحصل العميل الخاضع للمهاجم على رموز الوصول إذا وافق الضحية. 22

يشترك الأسلوبان في نقل هدف المهاجم من جمع كلمات المرور إلى حيازة أدوات تفويض قابلة للاستخدام. ولذلك ينبغي أن تغطي برامج الكشف المسارين معاً. وتلفت إرشادات Elastic إلى عمليات تسجيل دخول Entra الناجحة والتفاعلية التي تستخدم بروتوكول رمز الجهاز مع عميل Microsoft Authentication Broker، وتطلب موارد Microsoft الأساسية مثل Exchange Online أو Microsoft Graph أو SharePoint. 17

Knight Office ضمن سوق أدوات التصيّد كخدمة

أثبت تحقيق Huntress تسلسل اختراق فعلياً لـ Knight Office: طُعم مستندي، وتحويلات متعددة، والتقاط لرمز جلسة، ثم تسجيل جهاز غير مصرح به في Entra ID. كما ربطت Huntress عمليات إعادة استخدام متكررة للرموز في بياناتها بعنوان IP واحد، لكن لا ينبغي اعتبار هذه الملاحظة إحصاءً عالمياً للضحايا. 6

ويندرج Knight Office في سياق أوسع من أدوات التصيّد كخدمة (PhaaS) التي تستهدف جلسات هوية Microsoft 365:

• تستخدم Mirage2FA بنية AiTM لالتقاط بيانات الاعتماد والجلسات الموثقة. وسجّلت ANY.RUN عدد 9,332 حدث اختراق محتمل بين 2024 و2026، بينها 4,561 واقعة سرقة لملفات تعريف الارتباط. وهي أرقام مستندة إلى القياس عن بُعد لأحداث محتملة، وليست عدداً مؤكداً للضحايا. 4
• رصدت السلطات Kali365 لأول مرة في أبريل/نيسان 2026، وجرى توزيعها أساساً عبر Telegram. وحذّر مكتب التحقيقات الفيدرالي الأميركي (FBI) من قدرتها على الحصول على رموز وصول OAuth ورموز تحديث لـ Microsoft 365. 1

والخلاصة الدفاعية واحدة: يجب حماية إساءة استخدام الجلسات والرموز، واكتشافها والاستجابة لها، بالصرامة نفسها المطبقة على اختراق كلمات المرور.

أولويات الرصد في Entra ID وMicrosoft 365

الأولوية ليست لتنبيه منفرد، بل لربط الإشارات ببعضها.

1. البحث عن إعادة استخدام مريبة للجلسة

حقّق في عمليات تسجيل الدخول التي يظهر فيها الحساب أو الجلسة نفسها من عناوين IP أو شبكات أو مواقع جغرافية أو متصفحات أو خصائص أجهزة مختلفة بصورة جوهرية خلال فترة قصيرة، وخصوصاً عقب MFA ناجح. وتذكر Microsoft عمليات كشف لاستخدام شاذ للرموز وخصائص تسجيل دخول غير مألوفة مرتبطة بملفات تعريف ارتباط الجلسة. 38

2. تعقّب نشاط رمز الجهاز غير المعتاد

راجع عمليات المصادقة الناجحة برمز الجهاز، وتحقق مما إذا كان العميل وعنوان IP المصدر والمورد المطلوب وسلوك المستخدم منطقية. ويمكن تمييز هذا النشاط في سجلات تسجيل دخول Entra عبر حقول مثل authenticationProtocol: deviceCode وoriginalTransferMethod: deviceCodeFlow. 26

3. راقب تغييرات البقاء والاستمرارية

أعطِ أولوية لأحداث تدقيق Entra التي تشمل:

• تسجيل أجهزة جديدة أو ضمها أو تغيير ملكيتها أو معرّفات أجهزة غير معتادة.
• إضافة وسائل مصادقة جديدة، مثل Windows Hello for Business أو مفاتيح FIDO2/passkeys أو MFA أو وسائل الاسترداد.
• منح موافقات للتطبيقات، أو تغييرات تطبيقات المؤسسة وكيانات الخدمة، أو تعيين أدوار ذات امتيازات.
• تغييرات الوصول المشروط، والمواقع المسماة، والاتحاد، وتحويل البريد وقواعد علبة الوارد.

يجب اعتبار تسجيل جهاز غير مصرّح به بعد مصادقة مريبة مؤشراً عالي الأولوية على البقاء داخل الهوية. 2628

4. اربط أدلة البريد بأدلة الهوية

قد تكون رسالة بأسلوب DocuSign مجرد بريد مزعج، وقد يكون جهاز Entra جديد مشروعاً. لكن اجتماع رسالة مريبة، وأدلة على سلسلة التحويل، ونجاح MFA، وإعادة استخدام شاذة للجلسة، وتغيير في جهاز أو وسيلة مصادقة، يجعل الحالة أكثر قابلية للتحرك الفوري.

الاستجابة للحادث: احتواء الهوية لا كلمة المرور وحدها

عند الاشتباه بسرقة رمز عبر AiTM أو عبر رمز جهاز، اتبع مسار احتواء للهوية:

1. احظر الهوية المتأثرة أو عطّلها عند الحاجة. عطّل حسابات المستخدمين والأجهزة المتأثرة ريثما يتحدد نطاق الحادث. 40
2. أبطل الجلسات الحالية ورموز التحديث. استخدم إجراء إبطال جلسات تسجيل الدخول في Entra، ثم افرض إعادة المصادقة. وتوصي Microsoft تحديداً بإبطال رموز التحديث عبر revokeSignInSessions عند الاستجابة لتصيّد رمز الجهاز. 27
3. أعد تعيين بيانات الاعتماد، لكن لا تتوقف عند ذلك. تغيير كلمة المرور إجراء احتواء مكمل، وليس دليلاً على انتهاء وصول المهاجم. 4042
4. أزل وسائل البقاء. حدّد أجهزة Entra غير المصرح بها وأزلها، وراجع ملكية الأجهزة، وأزل وسائل Windows Hello for Business وFIDO2 وMFA والاسترداد وبيانات اعتماد التطبيقات التي أضيفت حديثاً، وافحص منح الموافقات. 628
5. ابحث في المستأجر كله. فتّش عن روابط الطعوم نفسها، وبنية التحويل، وعناوين IP المشبوهة، وأحداث رموز الأجهزة، وشذوذ تسجيل الدخول بعد MFA، وتسجيلات الأجهزة الجديدة لدى جميع المستخدمين.
6. قيّم أثر الأعمال. راجع نشاط Exchange وSharePoint وOneDrive وTeams وMicrosoft Graph وOAuth وسجلات الإدارة بحثاً عن الوصول إلى البيانات، وقواعد البريد والتحويل، والمشاركة الخارجية، وإساءة استخدام الموافقات، وتغييرات الامتيازات، والوصول إلى التطبيقات المرتبطة بتسجيل الدخول الأحادي.
7. احفظ الأدلة قبل التنظيف. احتفظ برسائل التصيّد وترويساتها، وآثار البريد، وسلاسل التحويل، وسجلات تسجيل الدخول والتدقيق في Entra، وسجلات الأجهزة وموافقات OAuth، وبيانات المتصفح أو نقاط النهاية.

خفّض التعرض قبل الرسالة التالية

المصادقة المقاومة للتصيّد مهمة، خصوصاً للحسابات الحساسة، لكنها جزء من دفاع متعدد الطبقات. وتوصي Microsoft بأساليب مثل مفاتيح أمان FIDO2 وWindows Hello for Business والمصادقة المعتمدة على الشهادات، إلى جانب ضوابط تقلل مدة صلاحية الجلسات على الأجهزة غير المُدارة. 39

ينبغي كذلك تقييم مدى الحاجة الفعلية إلى تدفق رمز الجهاز، وتقييد تسجيل الأجهزة غير المصرح بها، وتطبيق الوصول المشروط بناءً على امتثال الجهاز ومستوى الخطر، والتأكد من قدرة فريق العمليات على إبطال الجلسات بسرعة والتحقيق في تغييرات كائنات الهوية.

الدرس المحوري من Knight Office ليس أن MFA فشلت؛ بل إن نجاح MFA قد يكون بداية الاختراق عندما يسرق المهاجم الجلسة التي تليه. ولا تكتمل الاستجابة إلا بعد فحص واحتواء جلسات المستأجر وأجهزته ووسائل مصادقته وعمليات التفويض الممنوحة فيه.