حملة "فخ المشتريات" تخترق حسابات Microsoft 365: كيف تتجاوز المصادقة متعددة العوامل وتسرق الجلسات

الخصائص الرئيسية للحملة:

• طريقة الهجوم: يخترق المهاجمون مواقع شركات صغيرة وحسابات Outlook شرعية لاستضافتها وتوزيع روابط التصيد، مما يجعل البنية التحتية للهجوم تبدو موثوقة .
• الأهداف: تستهدف الحملة صراحةً الجامعات والشركات الكبرى والمؤسسات متعددة الجنسيات، بما في ذلك وكالات تابعة للاتحاد الأوروبي والأمم المتحدة .
• أدوات تصيد متعددة: يغير المهاجمون بين عدة أدوات تصيد كخدمة (PhaaS)، وهي:
  • EvilProxy – أداة تعترض ملفات تعريف الارتباط لتجاوز رسائل SMS وتطبيقات المصادقة .
  • FlowerStorm – عملية تصيد واسعة النطاق، تبنت مؤخرًا تقنية تشويش متقدمة تعتمد على آلات افتراضية داخل المتصفح لتفادي دفاعات البريد الإلكتروني .
  • Kali365 – منصة تصيد ظهرت لأول مرة في أبريل 2026، يتم توزيعها عبر تطبيق تيليغرام، وتستخدم تقنية "التصيد برمز الجهاز" (Device Code Phishing) لسرقة رموز الجلسة دون الحاجة إلى كلمات مرور أو رموز MFA .
• نطاقات عشوائية: تُستخدم نطاقات مملوكة مسبقًا أو منشأة خوارزميًا (RDGAs) لتوليد عدد كبير من عناوين URL التي يتم تدويرها بسرعة، مما يجعل حظرها صعبًا .

كيف يعمل الهجوم (الآلية التقنية)

يقوم المهاجم بإنشاء موقع تصيد وسيط يعمل كخادم وكيل مباشر (live reverse proxy) بين الضحية وخدمات المصادقة الحقيقية من Microsoft 365 . عندما يدخل الضحية بيانات الدخول ويكمل عملية MFA، يلتقط الخادم الوسيط ملف تعريف الارتباط الخاص بالجلسة (session cookie) الناتج قبل أن يصل إلى متصفح الضحية. بعد ذلك، يقوم المهاجم باستيراد ملف الارتباط هذا إلى متصفحه الخاص ويحصل على وصول كامل إلى حسابات Exchange Online وSharePoint وOneDrive وأي تطبيقات مرتبطة بالضحية .

تصف المصادر المتعددة نفس الآلية الأساسية: يُنشئ الخادم الوسيط اتصالاً ثنائيًا في الوقت الفعلي، على عكس التصيد التقليدي الذي يكتفي بنسخ صفحات تسجيل الدخول وسرقة بيانات الدخول . ولأن رمز الجلسة يُثبت أن المستخدم قد اجتاز MFA بالفعل، فلا يحتاج المهاجم إلى اختراق MFA نفسه .

لماذا المصادقة متعددة العوامل (MFA) القياسية غير كافية؟

حتى مايكروسوفت تحذر من أن التصيد المتقدم (AiTM) يهزم طرق MFA الشائعة مثل رموز الرسائل النصية وPush Notifications . فرمز الجلسة الذي يُصدر بعد MFA هو الهدف الحقيقي: إذا سُرق، يمكن إعادة تشغيله من أي جهاز، من أي مكان، حتى تنتهي صلاحية الرمز أو يتم إبطاله إداريًا.

يؤكد تقرير Infoblox على أن MFA التقليدية غير كافية لأن خوادم AiTM الوسيطة تسرق رمز الجلسة الذي يُصدر بعد اكتمال MFA . المشكلة الأساسية معمارية: يقع الخادم الوسيط بين المستخدم ونقطة المصادقة الحقيقية بطريقة لا تستطيع MFA الكشف عنها.

دفاعات تتجاوز MFA يوصي بها خبراء Infoblox

يوصي خبراء Infoblox باستراتيجية دفاعية متعددة الطبقات لا تعتمد على MFA كحل وحيد. توصياتهم الأساسية تشمل:

1. الحماية على مستوى DNS: حظر النطاقات الضارة المعروفة والنطاقات المنشأة خوارزميًا (RDGAs) على مستوى DNS، لتعطيل البنية التحتية للتصيد قبل وصول المستخدمين إليها .
2. بيانات اعتماد مقاومة للتصيد: نشر مفاتيح أمان الأجهزة مثل FIDO2/WebAuthn أو Windows Hello for Business. تستخدم هذه التقنيات تشفيرًا بالمفاتيح العامة مرتبطًا بأصل محدد، ولا يمكن لخادم AiTM الوسيط إعادة توجيه تحديات FIDO2 لأن التحقق التشفيري مرتبط بنطاق الموقع الشرعي.
3. سياسات الوصول المشروط: فرض سياسات مخاطر صارمة لتسجيل الدخول في Microsoft Entra ID، مثل طلب ربط الرمز (token binding)، وحظر تسجيل الدخول من مواقع أو أجهزة غير معتادة، وتقصير عمر الجلسات لتقليل نافذة إعادة تشغيل الرمز المسروق.
4. إدارة التعرض ومراقبة العلامة التجارية: الكشف الاستباقي عن نطاقات التصيد التي تنتحل هوية المؤسسة وإزالة البنية التحتية للتصيد قبل أن يواجهها المستخدمون .
5. التوعية والإبلاغ: تدريب المستخدمين على التعرف على رسائل الصيد المتعلقة بالمشتريات والإبلاغ عنها لتمكين فرق الأمن من الاستجابة بشكل أسرع.

كما حذر مكتب التحقيقات الفيدرالي (FBI) بشكل خاص من أداة Kali365، ونصح المؤسسات بمراجعة طرق MFA لديها، وتدقيق سجلات تسجيل الدخول بحثًا عن تدفقات رموز الأجهزة غير العادية، والنظر في حظر مصادقة رمز الجهاز لجميع المستخدمين باستثناء التطبيقات الموثوقة .

القيود والملاحظات على الأدلة

تقرير Infoblox هو المصدر الأساسي لاسم الحملة واستهداف مؤسسات الاتحاد الأوروبي والأمم المتحدة واستخدام حسابات Outlook المخترقة ومواقع الشركات الصغيرة. التقارير الثانوية تؤكد بشكل مستقل الأهداف وتنقل الأدوات.

أداة Kali365 تم تأكيدها بشكل مستقل من قبل تحذير FBI وبائعي الأمن Huntress وPaubox ، لكن تقرير Infoblox يضعها ضمن نفس البنية التحتية للحملة إلى جانب EvilProxy وFlowerStorm.

التوصيات الدفاعية تجمع بين تصريحات مباشرة من تقرير Infoblox وأفضل الممارسات الموثقة عبر مصادر متعددة ، ولا توجد فقرة واحدة في المصادر تُعدد كل عنصر دفاعي في قائمة نقطية.

الخلاصة

توضح حملة "فخ المشتريات" اتجاهًا متزايدًا: المتسللون لم يعودوا يحاولون كسر MFA، بل يتجاوزونها تمامًا بسرقة رموز الجلسة الصادرة بعد المصادقة الناجحة. الإجراءات المضادة التقنية مثل مفاتيح FIDO2 وحظر النطاقات على مستوى DNS يمكن أن تقلل بشكل كبير من التعرض للخطر، لكن خط الدفاع الأول يبقى يقظة المستخدمين.