خادم مكشوف يكشف 3 عمليات تصيد لـ Microsoft 365: كيف تعمل وكيف توقف كلا الهجومين
في 13 يوليو 2026، كشف باحثو شركة Lexfo الفرنسية عن ثلاث حملات تصيد نشطة تعتمد على Evilginx بعدما ترك مهاجم خادم بايثون مكشوفًا مع تفعيل قائمة الدليل، مما سمح بالوصول إلى أدواته وسجلاته. إحدى الحملات الثلاث سجلت 218 حسابًا مخترقًا عبر 12 دولة، 94% منها كانت صناديق بريد مؤسسية، واتبعت الحملات مسارين: سرقة رمز الجلسة ع...
نشر بواسطةتم التحرير باستخدام DeepSeek-V4-Flashتم إنشاء الصور باستخدام GPT Image 1.5
في 13 يوليو 2026، كشف باحثو شركة Lexfo الفرنسية عن ثلاث حملات تصيد نشطة تعتمد على Evilginx بعدما ترك مهاجم خادم بايثون مكشوفًا مع تفعيل قائمة الدليل، مما سمح بالوصول إلى أدواته وسجلاته.
إحدى الحملات الثلاث سجلت 218 حسابًا مخترقًا عبر 12 دولة، 94% منها كانت صناديق بريد مؤسسية، واتبعت الحملات مسارين: سرقة رمز الجلسة عبر Evilginx وإساءة استخدام رمز الجهاز من مايكروسوفت.
اكتُشفت منصة Forg365، وهي منصة تصيد كخدمة (PhaaS) تجارية تُوزع عبر تلغرام بتكلفة 400 دولار شهريًا، وتجمع بين هجمات الوسيط ورمز الجهاز وأدوات الذكاء الاصطناعي.
الفرق الحاسم: هجمات الوسيط تُوقف بـ FIDO2/passkeys، بينما يُوقف إساءة استخدام رمز الجهاز عبر تعطيل تدفق رمز الجهاز في Conditional Access من Entra ID.
Search & fact-check with cited sources for What are the details of the recent Microsoft 365 phishing campaigns exposed by a misconfigured seAn open directory on a misconfigured server led researchers to three active phishing campaigns and the Forg365 PhaaS platform.
موجّه الذكاء الاصطناعي
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the details of the recent Microsoft 365 phishing campaigns exposed by a misconfigured se. Article summary: On **July 13, 2026**, researchers at the French security firm **Lexfo** uncovered three live Evilginx-based phishing operations targeting Microsoft 365 after an attacker left a Python web server exposed on a public port . Topic tags: general, government, education, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, wat
openai.com
في يوليو 2026، كشف اكتشافان متوازيان عن طفرة في هجمات التصيد التي تستهدف Microsoft 365 وتتجاوز التحقق متعدد العوامل (MFA) باستخدام طريقتين مختلفتين جوهريًا: هجمات الوسيط (Adversary-in-the-Middle أو AiTM) عبر الخوادم الوكيلة، وإساءة استخدام التحقق عبر رمز الجهاز. جاء الاكتشاف الأول من خطأ ارتكبه أحد المهاجمين — خادم ويب بلغة بايثون تم ضبطه بشكل خاطئ مما كشف ثلاث حملات نشطة. أما الاكتشاف الثاني فجاء من باحثين يتتبعون منصة تصيد تجارية جديدة تُدعى Forg365. فهم كيفية عمل كل هجوم هو الخطوة الأولى لنشر الدفاعات الصحيحة، لأن الحل المناسب لأحدهما لا يوقف الآخر.
الخادم المكشوف الذي كشف ثلاث عمليات Evilginx
في 13 يوليو 2026، اكتشف باحثون من شركة الأمن الفرنسية Lexfo ثلاث عمليات تصيد نشطة تعتمد على Evilginx وتستهدف Microsoft 365، وذلك بعد أن ترك المهاجم خادم ويب بلغة بايثون مكشوفًا على منفذ عام مع تفعيل قائمة الدليل. كان الأمر python3 -m http.server 8080 لا يزال ظاهرًا في ملف .bash_history للخادم. من خلال ذلك الدليل المفتوح، تمكنت Lexfo من الحصول على مجموعة أدوات المهاجم بالكامل وسجلاته وبيانات الضحايا المسروقة، ثم تتبعت لتعريف مهاجمين آخرين يديران حملات منفصلة .
Studio Global AI
مواصلة البحث الخاص بك
تتضمن هذه الصفحة إجابة مدعومة بالمصدر يمكنك المتابعة داخل Studio Global.
ما هي الإجابة المختصرة على "خادم مكشوف يكشف 3 عمليات تصيد لـ Microsoft 365: كيف تعمل وكيف توقف كلا الهجومين"؟
في 13 يوليو 2026، كشف باحثو شركة Lexfo الفرنسية عن ثلاث حملات تصيد نشطة تعتمد على Evilginx بعدما ترك مهاجم خادم بايثون مكشوفًا مع تفعيل قائمة الدليل، مما سمح بالوصول إلى أدواته وسجلاته.
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
في 13 يوليو 2026، كشف باحثو شركة Lexfo الفرنسية عن ثلاث حملات تصيد نشطة تعتمد على Evilginx بعدما ترك مهاجم خادم بايثون مكشوفًا مع تفعيل قائمة الدليل، مما سمح بالوصول إلى أدواته وسجلاته. إحدى الحملات الثلاث سجلت 218 حسابًا مخترقًا عبر 12 دولة، 94% منها كانت صناديق بريد مؤسسية، واتبعت الحملات مسارين: سرقة رمز الجلسة عبر Evilginx وإساءة استخدام رمز الجهاز من مايكروسوفت.
ماذا يجب أن أفعل بعد ذلك في الممارسة العملية؟
اكتُشفت منصة Forg365، وهي منصة تصيد كخدمة (PhaaS) تجارية تُوزع عبر تلغرام بتكلفة 400 دولار شهريًا، وتجمع بين هجمات الوسيط ورمز الجهاز وأدوات الذكاء الاصطناعي.
خادم مكشوف يكشف 3 عمليات تصيد لـ Microsoft 365: كيف تعمل وكيف توقف كلا الهجومين
في 13 يوليو 2026، كشف باحثو شركة Lexfo الفرنسية عن ثلاث حملات تصيد نشطة تعتمد على Evilginx بعدما ترك مهاجم خادم بايثون مكشوفًا مع تفعيل قائمة الدليل، مما سمح بالوصول إلى أدواته وسجلاته. إحدى الحملات الثلاث سجلت 218 حسابًا مخترقًا عبر 12 دولة، 94% منها كانت صناديق بريد مؤسسية، واتبعت الحملات مسارين: سرقة رمز الجلسة ع...
نشر بواسطةتم التحرير باستخدام DeepSeek-V4-Flashتم إنشاء الصور باستخدام GPT Image 1.5
في 13 يوليو 2026، كشف باحثو شركة Lexfo الفرنسية عن ثلاث حملات تصيد نشطة تعتمد على Evilginx بعدما ترك مهاجم خادم بايثون مكشوفًا مع تفعيل قائمة الدليل، مما سمح بالوصول إلى أدواته وسجلاته.
إحدى الحملات الثلاث سجلت 218 حسابًا مخترقًا عبر 12 دولة، 94% منها كانت صناديق بريد مؤسسية، واتبعت الحملات مسارين: سرقة رمز الجلسة عبر Evilginx وإساءة استخدام رمز الجهاز من مايكروسوفت.
اكتُشفت منصة Forg365، وهي منصة تصيد كخدمة (PhaaS) تجارية تُوزع عبر تلغرام بتكلفة 400 دولار شهريًا، وتجمع بين هجمات الوسيط ورمز الجهاز وأدوات الذكاء الاصطناعي.
الفرق الحاسم: هجمات الوسيط تُوقف بـ FIDO2/passkeys، بينما يُوقف إساءة استخدام رمز الجهاز عبر تعطيل تدفق رمز الجهاز في Conditional Access من Entra ID.
Search & fact-check with cited sources for What are the details of the recent Microsoft 365 phishing campaigns exposed by a misconfigured seAn open directory on a misconfigured server led researchers to three active phishing campaigns and the Forg365 PhaaS platform.
موجّه الذكاء الاصطناعي
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the details of the recent Microsoft 365 phishing campaigns exposed by a misconfigured se. Article summary: On **July 13, 2026**, researchers at the French security firm **Lexfo** uncovered three live Evilginx-based phishing operations targeting Microsoft 365 after an attacker left a Python web server exposed on a public port . Topic tags: general, government, education, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, wat
openai.com
في يوليو 2026، كشف اكتشافان متوازيان عن طفرة في هجمات التصيد التي تستهدف Microsoft 365 وتتجاوز التحقق متعدد العوامل (MFA) باستخدام طريقتين مختلفتين جوهريًا: هجمات الوسيط (Adversary-in-the-Middle أو AiTM) عبر الخوادم الوكيلة، وإساءة استخدام التحقق عبر رمز الجهاز. جاء الاكتشاف الأول من خطأ ارتكبه أحد المهاجمين — خادم ويب بلغة بايثون تم ضبطه بشكل خاطئ مما كشف ثلاث حملات نشطة. أما الاكتشاف الثاني فجاء من باحثين يتتبعون منصة تصيد تجارية جديدة تُدعى Forg365. فهم كيفية عمل كل هجوم هو الخطوة الأولى لنشر الدفاعات الصحيحة، لأن الحل المناسب لأحدهما لا يوقف الآخر.
الخادم المكشوف الذي كشف ثلاث عمليات Evilginx
في 13 يوليو 2026، اكتشف باحثون من شركة الأمن الفرنسية Lexfo ثلاث عمليات تصيد نشطة تعتمد على Evilginx وتستهدف Microsoft 365، وذلك بعد أن ترك المهاجم خادم ويب بلغة بايثون مكشوفًا على منفذ عام مع تفعيل قائمة الدليل. كان الأمر python3 -m http.server 8080 لا يزال ظاهرًا في ملف .bash_history للخادم. من خلال ذلك الدليل المفتوح، تمكنت Lexfo من الحصول على مجموعة أدوات المهاجم بالكامل وسجلاته وبيانات الضحايا المسروقة، ثم تتبعت لتعريف مهاجمين آخرين يديران حملات منفصلة .
Studio Global AI
مواصلة البحث الخاص بك
تتضمن هذه الصفحة إجابة مدعومة بالمصدر يمكنك المتابعة داخل Studio Global.
ما هي الإجابة المختصرة على "خادم مكشوف يكشف 3 عمليات تصيد لـ Microsoft 365: كيف تعمل وكيف توقف كلا الهجومين"؟
في 13 يوليو 2026، كشف باحثو شركة Lexfo الفرنسية عن ثلاث حملات تصيد نشطة تعتمد على Evilginx بعدما ترك مهاجم خادم بايثون مكشوفًا مع تفعيل قائمة الدليل، مما سمح بالوصول إلى أدواته وسجلاته.
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
في 13 يوليو 2026، كشف باحثو شركة Lexfo الفرنسية عن ثلاث حملات تصيد نشطة تعتمد على Evilginx بعدما ترك مهاجم خادم بايثون مكشوفًا مع تفعيل قائمة الدليل، مما سمح بالوصول إلى أدواته وسجلاته. إحدى الحملات الثلاث سجلت 218 حسابًا مخترقًا عبر 12 دولة، 94% منها كانت صناديق بريد مؤسسية، واتبعت الحملات مسارين: سرقة رمز الجلسة عبر Evilginx وإساءة استخدام رمز الجهاز من مايكروسوفت.
ماذا يجب أن أفعل بعد ذلك في الممارسة العملية؟
اكتُشفت منصة Forg365، وهي منصة تصيد كخدمة (PhaaS) تجارية تُوزع عبر تلغرام بتكلفة 400 دولار شهريًا، وتجمع بين هجمات الوسيط ورمز الجهاز وأدوات الذكاء الاصطناعي.
كانت العمليات الثلاث حملات Evilginx القائمة على هجمات الوسيط التي توكّل صفحات تسجيل الدخول إلى Microsoft 365 لسرقة رموز الجلسة بعد أن يُكمل المستخدم التحقق متعدد العوامل . سجّلت إحدى هذه الحملات 218 حسابًا مخترقًا عبر 12 دولة، منها 94% كانت صناديق بريد مؤسسية. استخدمت العمليات مسارين هجوميين متميزين: سرقة رموز الجلسة عبر Evilginx وهجمات رمز الجهاز — حيث أرسلت إحدى الأدوات الضحايا إلى صفحة تسجيل الدخول الحقيقية لمايكروسوفت لتفويض الوصول بأنفسهم، بينما كان خادم المهاجم يتحقق باستمرار من الحصول على الرمز .
Forg365: منصة تصيد كخدمة تجارية
بشكل منفصل، تم تعريف منصة Forg365 كخدمة تصيد (PhaaS) من قبل باحثي ZeroBEC (تم الإبلاغ عنها في 9-13 يوليو 2026) على أنها منصة تجارية تُوزع عبر تلغرام بسعر 400 دولار شهريًا (أو 3,800 دولار سنويًا). على عكس نسخ Evilginx المخصصة التي وُجدت على الخادم المكشوف، تجمع Forg365 طرق هجوم وأدوات متعددة في لوحة تحكم واحدة يديرها المشغل .
تجمع Forg365 ثلاث قدرات أساسية:
الوكيل الوسيط (AiTM) — وكيل عكسي شفاف يلتقط رموز الجلسة بعد أن يُكمل المستخدم التحقق متعدد العوامل
التصيد عبر رمز الجهاز — يساء استخدام تدفق رمز الجهاز الشرعي من OAuth لمايكروسوفت، مما يعني أن المستخدم يُكمل التحقق على صفحة مايكروسوفت الحقيقية دون أن يرى المهاجم كلمة المرور
توليد الإغراءات بالذكاء الاصطناعي — يستخدم الذكاء الاصطناعي لصياغة رسائل تصيد وصفحات هبوط مقنعة تتقمص هوية خدمات مثل SharePoint وOneDrive وDocuSign وAdobe Acrobat Sign
تشمل المنصة أيضًا أدوات لتجنب الفحص الأمني (تكشف بيئات الاختبار والزواحف الأمنية)، والوصول إلى صندوق البريد بعد الاختراق (يمكن للمشغلين تصفح البريد الإلكتروني واستخراجه من اللوحة)، وتدوير خوادم SMTP، وجدولة الحملات .
هجوم يسرق الرموز بعد MFA؛ والآخر يساء استخدام بروتوكول شرعي
يوضح هذان الاكتشافان الفرق الحاسم بين هجمات الوسيط (AiTM) وإساءة استخدام رمز الجهاز. فهم الفرق ضروري لأن نفس الدفاع لا يعمل لكليهما:
هجمات الوسيط (AiTM) (نمط Evilginx): يُنشئ المهاجم صفحة تسجيل دخول مزيفة توكل حركة المرور إلى صفحة تسجيل الدخول الحقيقية لمايكروسوفت. يُدخل المستخدم كلمة المرور ويُكمل التحقق متعدد العوامل على الخادم الوكيل للمهاجم. بعد المصادقة الناجحة، تُصدر مايكروسوفت كعكة جلسة للمتصفح الذي تعتقد أنه المتصفح الشرعي — ولكن تلك الكعكة تصل فعليًا إلى خادم المهاجم الوكيل، وليس متصفح المستخدم. يمكن للمهاجم بعد ذلك إعادة استخدام تلك الكعكة للوصول إلى حساب الضحية في Microsoft 365 .
التصيد عبر رمز الجهاز: يُنشئ المهاجم رمز جهاز شرعي من مايكروسوفت (رمز قصير يُستخدم لتسجيل الدخول على أجهزة بدون لوحة مفاتيح، مثل أجهزة التلفاز الذكية) ويُرسله إلى الضحية عبر بريد إلكتروني تصيدي. يزور الضحية صفحة تسجيل الدخول الحقيقية لمايكروسوفت، ويُدخل الرمز، ويُكمل التحقق، ويُفوض تطبيق المهاجم. لم يتم تجاوز أي شيء — الضحية هي من فوضت الوصول. ثم يتحقق خادم المهاجم من مايكروسوفت للحصول على الرمز .
الدفاعات الموصى بها: أي الضوابط توقف كل هجوم
دفاعات هجمات الوسيط (AiTM) (نمط Evilginx)
الدفاع الأكثر فعالية ضد هجمات الوسيط هو التحقق متعدد العوامل المقاوم للتصيد (phishing-resistant MFA)، وتحديدًا FIDO2/WebAuthn وpasskeys. هذه التقنيات تربط بيانات الاعتماد باسم النطاق الشرعي، لذلك عندما يتصل متصفح المستخدم بموقع المهاجم الوكيل (الذي له نطاق مختلف)، يكتشف بروتوكول المصادقة عدم تطابق النطاق ويمنع تبادل بيانات الاعتماد تلقائيًا .
تشمل الدفاعات الأخرى:
سياسات الوصول المشروط (Entra ID): اشترط امتثال الجهاز ومتطلبات الموقع الموثوق لمنع إصدار الرموز من الخوادم الوكيلة غير الموثوقة
التقييم المستمر للوصول (CAE): يتيح إلغاء الرموز في الوقت الفعلي تقريبًا عند اكتشاف ظروف خطرة
مراقبة استخدام الرموز غير المعتاد: ابحث عن رموز مستخدمة من عنوان IP أو بلد مختلف عما صدرت منه، وسفر مستحيل، وخصائص تسجيل دخول غير مألوفة
حظر النطاقات المسجلة حديثًا المستخدمة في التصيد: راقب النطاقات المسجلة في آخر 30 يومًا والتي تحل في نطاقات IP معروفة تستخدم في البنية التحتية للتصيد
دفاعات إساءة استخدام التحقق عبر رمز الجهاز
التصيد عبر رمز الجهاز لا يتطلب من المهاجم خداع المستخدم لإدخال بيانات الاعتماد على صفحة مزيفة — إذ يتفاعل المستخدم مع صفحة تسجيل الدخول الحقيقية لمايكروسوفت. هذا يعني أن FIDO2/passkeys وحدها لا تحمي بشكل كامل من هذا الهجوم لأن تدفق OAuth الشرعي يُستخدم .
الدفاع الأساسي هو حظر تدفق OAuth لرمز الجهاز للمستخدمين الذين لا يحتاجونه، باستخدام الوصول المشروط من Microsoft Entra ID:
أنشئ سياسة باستخدام شرط "تدفقات المصادقة" لحظر تدفق رمز الجهاز لجميع المستخدمين باستثناء مجموعة استثناء موثقة
قبل الحظر، شغّل في وضع "وضع التقرير فقط" أو راجع سجلات تسجيل الدخول التاريخية لتحديد الاستخدام الشرعي لرمز الجهاز (مثل أجهزة التلفاز الذكية، وأجهزة غرف الاجتماعات)
خطط لاستثناء خدمة تسجيل الأجهزة (DRS)، لأن حظر تدفق رمز الجهاز يمكن أن يتعارض مع Autopilot وتسجيل أجهزة Windows
دفاعات إضافية:
تقييد الموافقة على التطبيقات ونطاقات تفويض OAuth: حدد التطبيقات التي يمكنها استخدام تدفقات رمز الجهاز وراجع التطبيقات المفوّضة بانتظام
انشر التحقق متعدد العوامل المقاوم للتصيد حتى لتدفقات رمز الجهاز: على الرغم من أنه ليس حلاً كاملاً، إلا أن مفاتيح FIDO2 أو المصادقة المستندة إلى الشهادة تقلل من سطح الهجوم
الخلاصة
أوصى تحذير مكتب التحقيقات الفيدرالي (FBI) الصادر في مايو 2026 بشأن منصة Kali365 PhaaS بتعطيل تدفق رمز الجهاز كدفاع أساسي . مع استمرار منصات التصيد مثل Forg365 في تسويق هذه التقنيات الهجومية، فإن الضرورة التشغيلية للمدافعين واضحة: انشر FIDO2/passkeys لجميع الحسابات المميزة لإيقاف هجمات الوسيط، واستخدم الوصول المشروط لتعطيل تدفق رمز الجهاز للمستخدمين الذين لا يحتاجونه. قد يكون دليل واحد مكشوف قد أظهر ثلاث حملات — لكن الدروس تنطبق على كل مستأجر (Tenant) في Microsoft 365.
thehackernews.com
Forg365 PhaaS Targets Microsoft 365 with Device Code ...
كانت العمليات الثلاث حملات Evilginx القائمة على هجمات الوسيط التي توكّل صفحات تسجيل الدخول إلى Microsoft 365 لسرقة رموز الجلسة بعد أن يُكمل المستخدم التحقق متعدد العوامل . سجّلت إحدى هذه الحملات 218 حسابًا مخترقًا عبر 12 دولة، منها 94% كانت صناديق بريد مؤسسية. استخدمت العمليات مسارين هجوميين متميزين: سرقة رموز الجلسة عبر Evilginx وهجمات رمز الجهاز — حيث أرسلت إحدى الأدوات الضحايا إلى صفحة تسجيل الدخول الحقيقية لمايكروسوفت لتفويض الوصول بأنفسهم، بينما كان خادم المهاجم يتحقق باستمرار من الحصول على الرمز .
Forg365: منصة تصيد كخدمة تجارية
بشكل منفصل، تم تعريف منصة Forg365 كخدمة تصيد (PhaaS) من قبل باحثي ZeroBEC (تم الإبلاغ عنها في 9-13 يوليو 2026) على أنها منصة تجارية تُوزع عبر تلغرام بسعر 400 دولار شهريًا (أو 3,800 دولار سنويًا). على عكس نسخ Evilginx المخصصة التي وُجدت على الخادم المكشوف، تجمع Forg365 طرق هجوم وأدوات متعددة في لوحة تحكم واحدة يديرها المشغل .
تجمع Forg365 ثلاث قدرات أساسية:
الوكيل الوسيط (AiTM) — وكيل عكسي شفاف يلتقط رموز الجلسة بعد أن يُكمل المستخدم التحقق متعدد العوامل
التصيد عبر رمز الجهاز — يساء استخدام تدفق رمز الجهاز الشرعي من OAuth لمايكروسوفت، مما يعني أن المستخدم يُكمل التحقق على صفحة مايكروسوفت الحقيقية دون أن يرى المهاجم كلمة المرور
توليد الإغراءات بالذكاء الاصطناعي — يستخدم الذكاء الاصطناعي لصياغة رسائل تصيد وصفحات هبوط مقنعة تتقمص هوية خدمات مثل SharePoint وOneDrive وDocuSign وAdobe Acrobat Sign
تشمل المنصة أيضًا أدوات لتجنب الفحص الأمني (تكشف بيئات الاختبار والزواحف الأمنية)، والوصول إلى صندوق البريد بعد الاختراق (يمكن للمشغلين تصفح البريد الإلكتروني واستخراجه من اللوحة)، وتدوير خوادم SMTP، وجدولة الحملات .
هجوم يسرق الرموز بعد MFA؛ والآخر يساء استخدام بروتوكول شرعي
يوضح هذان الاكتشافان الفرق الحاسم بين هجمات الوسيط (AiTM) وإساءة استخدام رمز الجهاز. فهم الفرق ضروري لأن نفس الدفاع لا يعمل لكليهما:
هجمات الوسيط (AiTM) (نمط Evilginx): يُنشئ المهاجم صفحة تسجيل دخول مزيفة توكل حركة المرور إلى صفحة تسجيل الدخول الحقيقية لمايكروسوفت. يُدخل المستخدم كلمة المرور ويُكمل التحقق متعدد العوامل على الخادم الوكيل للمهاجم. بعد المصادقة الناجحة، تُصدر مايكروسوفت كعكة جلسة للمتصفح الذي تعتقد أنه المتصفح الشرعي — ولكن تلك الكعكة تصل فعليًا إلى خادم المهاجم الوكيل، وليس متصفح المستخدم. يمكن للمهاجم بعد ذلك إعادة استخدام تلك الكعكة للوصول إلى حساب الضحية في Microsoft 365 .
التصيد عبر رمز الجهاز: يُنشئ المهاجم رمز جهاز شرعي من مايكروسوفت (رمز قصير يُستخدم لتسجيل الدخول على أجهزة بدون لوحة مفاتيح، مثل أجهزة التلفاز الذكية) ويُرسله إلى الضحية عبر بريد إلكتروني تصيدي. يزور الضحية صفحة تسجيل الدخول الحقيقية لمايكروسوفت، ويُدخل الرمز، ويُكمل التحقق، ويُفوض تطبيق المهاجم. لم يتم تجاوز أي شيء — الضحية هي من فوضت الوصول. ثم يتحقق خادم المهاجم من مايكروسوفت للحصول على الرمز .
الدفاعات الموصى بها: أي الضوابط توقف كل هجوم
دفاعات هجمات الوسيط (AiTM) (نمط Evilginx)
الدفاع الأكثر فعالية ضد هجمات الوسيط هو التحقق متعدد العوامل المقاوم للتصيد (phishing-resistant MFA)، وتحديدًا FIDO2/WebAuthn وpasskeys. هذه التقنيات تربط بيانات الاعتماد باسم النطاق الشرعي، لذلك عندما يتصل متصفح المستخدم بموقع المهاجم الوكيل (الذي له نطاق مختلف)، يكتشف بروتوكول المصادقة عدم تطابق النطاق ويمنع تبادل بيانات الاعتماد تلقائيًا .
تشمل الدفاعات الأخرى:
سياسات الوصول المشروط (Entra ID): اشترط امتثال الجهاز ومتطلبات الموقع الموثوق لمنع إصدار الرموز من الخوادم الوكيلة غير الموثوقة
التقييم المستمر للوصول (CAE): يتيح إلغاء الرموز في الوقت الفعلي تقريبًا عند اكتشاف ظروف خطرة
مراقبة استخدام الرموز غير المعتاد: ابحث عن رموز مستخدمة من عنوان IP أو بلد مختلف عما صدرت منه، وسفر مستحيل، وخصائص تسجيل دخول غير مألوفة
حظر النطاقات المسجلة حديثًا المستخدمة في التصيد: راقب النطاقات المسجلة في آخر 30 يومًا والتي تحل في نطاقات IP معروفة تستخدم في البنية التحتية للتصيد
دفاعات إساءة استخدام التحقق عبر رمز الجهاز
التصيد عبر رمز الجهاز لا يتطلب من المهاجم خداع المستخدم لإدخال بيانات الاعتماد على صفحة مزيفة — إذ يتفاعل المستخدم مع صفحة تسجيل الدخول الحقيقية لمايكروسوفت. هذا يعني أن FIDO2/passkeys وحدها لا تحمي بشكل كامل من هذا الهجوم لأن تدفق OAuth الشرعي يُستخدم .
الدفاع الأساسي هو حظر تدفق OAuth لرمز الجهاز للمستخدمين الذين لا يحتاجونه، باستخدام الوصول المشروط من Microsoft Entra ID:
أنشئ سياسة باستخدام شرط "تدفقات المصادقة" لحظر تدفق رمز الجهاز لجميع المستخدمين باستثناء مجموعة استثناء موثقة
قبل الحظر، شغّل في وضع "وضع التقرير فقط" أو راجع سجلات تسجيل الدخول التاريخية لتحديد الاستخدام الشرعي لرمز الجهاز (مثل أجهزة التلفاز الذكية، وأجهزة غرف الاجتماعات)
خطط لاستثناء خدمة تسجيل الأجهزة (DRS)، لأن حظر تدفق رمز الجهاز يمكن أن يتعارض مع Autopilot وتسجيل أجهزة Windows
دفاعات إضافية:
تقييد الموافقة على التطبيقات ونطاقات تفويض OAuth: حدد التطبيقات التي يمكنها استخدام تدفقات رمز الجهاز وراجع التطبيقات المفوّضة بانتظام
انشر التحقق متعدد العوامل المقاوم للتصيد حتى لتدفقات رمز الجهاز: على الرغم من أنه ليس حلاً كاملاً، إلا أن مفاتيح FIDO2 أو المصادقة المستندة إلى الشهادة تقلل من سطح الهجوم
الخلاصة
أوصى تحذير مكتب التحقيقات الفيدرالي (FBI) الصادر في مايو 2026 بشأن منصة Kali365 PhaaS بتعطيل تدفق رمز الجهاز كدفاع أساسي . مع استمرار منصات التصيد مثل Forg365 في تسويق هذه التقنيات الهجومية، فإن الضرورة التشغيلية للمدافعين واضحة: انشر FIDO2/passkeys لجميع الحسابات المميزة لإيقاف هجمات الوسيط، واستخدم الوصول المشروط لتعطيل تدفق رمز الجهاز للمستخدمين الذين لا يحتاجونه. قد يكون دليل واحد مكشوف قد أظهر ثلاث حملات — لكن الدروس تنطبق على كل مستأجر (Tenant) في Microsoft 365.
thehackernews.com
Forg365 PhaaS Targets Microsoft 365 with Device Code ...
