هجوم Storm‑2949: عندما تقود هوية مخترَقة واحدة إلى اختراق سحابي واسع

كشفت مايكروسوفت عن تفاصيل هجوم إلكتروني متقدم يُعرف باسم Storm‑2949، حيث تمكن المهاجم من تحويل اختراق حساب واحد فقط إلى وصول واسع داخل بيئة سحابية تضم خدمات Microsoft 365 وMicrosoft Azure. اللافت في هذا الهجوم أنه لم يعتمد على برمجيات خبيثة تقليدية، بل استغل أنظمة الهوية وإدارة الصلاحيات داخل السحابة نفسها.

هذا النوع من الهجمات يعكس تحولاً مهماً في عالم الأمن السيبراني: بدلاً من اختراق الأنظمة عبر ثغرات أو نشر برمجيات ضارة، أصبح المهاجمون يستغلون الهوية الرقمية وأدوات الإدارة الشرعية للتحرك داخل البنية السحابية دون إثارة الشبهات.

البداية: اختراق حساب واحد فقط

بحسب تقارير استخبارات التهديدات لدى مايكروسوفت، بدأت العملية بالاستيلاء على هوية مستخدم داخل المؤسسة. بعد الدخول إلى الحساب المخترق، بدأ المهاجم مباشرة في استكشاف بنية الهوية الخاصة بالمؤسسة داخل خدمة Microsoft Entra ID.

لتحقيق ذلك، استخدم المهاجم واجهة Microsoft Graph API، وهي واجهة برمجية تسمح بالوصول إلى معلومات المستخدمين والمجموعات والتطبيقات والأدوار داخل بيئة Microsoft 365 وAzure.

وأشارت مايكروسوفت إلى أن المهاجم استخدم سكريبت مخصص بلغة Python لأتمتة الاستعلامات عبر Graph API. سمحت هذه الاستعلامات بجمع معلومات عن المستخدمين والتطبيقات داخل المؤسسة والبحث عن حسابات تحمل مؤشرات على امتلاكها صلاحيات مرتفعة.

بهذه الطريقة استطاع المهاجم رسم خريطة للبنية الداخلية للهويات داخل المؤسسة وتحديد المسارات الممكنة لتوسيع صلاحياته.

استغلال ميزة إعادة تعيين كلمة المرور (SSPR)

إحدى التقنيات المهمة في الهجوم كانت إساءة استخدام ميزة Self‑Service Password Reset (SSPR)، وهي ميزة مصممة لمساعدة المستخدمين على استعادة الوصول إلى حساباتهم دون تدخل قسم تقنية المعلومات.

بعد السيطرة على الحساب الأولي، استغل المهاجم آليات استعادة الحساب المرتبطة بهذه الميزة لتحويل الوصول الأولي إلى وصول أكثر استقراراً واستمرارية داخل بيئة المؤسسة.

ولأن هذه الميزة جزء طبيعي من عمليات تسجيل الدخول وإدارة الحسابات، فإن إساءة استخدامها قد تبدو في السجلات وكأنها نشاط عادي للمستخدمين.

تصعيد الصلاحيات عبر Microsoft Graph وAzure RBAC

بعد مرحلة الاستكشاف، بدأ المهاجم في رفع مستوى الصلاحيات داخل البيئة السحابية.

تم ذلك من خلال عنصرين رئيسيين:

• Microsoft Graph API للتفاعل مع عناصر الدليل مثل المستخدمين والأدوار والتطبيقات.
• Azure RBAC (التحكم بالوصول القائم على الأدوار) الذي يحدد من يمكنه الوصول إلى موارد Azure المختلفة.

من خلال تحديد الحسابات والأدوار ذات الصلاحيات العالية، تمكن المهاجم من توسيع قدراته الإدارية والوصول إلى مزيد من الخدمات داخل البيئة السحابية.

الوصول إلى موارد Azure الحساسة

بعد الحصول على صلاحيات أعلى، تمكن المهاجم من الوصول إلى مجموعة من موارد Azure الحيوية، من بينها:

• خدمات التطبيقات (App Services)
• خزائن المفاتيح السرية (Key Vaults)
• قواعد بيانات SQL
• الآلات الافتراضية (Virtual Machines)

غالباً ما تحتوي هذه الموارد على مفاتيح سرية، بيانات تشغيلية، أو أحمال عمل إنتاجية حساسة، ما يجعلها أهدافاً عالية القيمة في الهجمات السحابية.

التمويه باستخدام أدوات الإدارة الشرعية

أحد الأسباب التي جعلت اكتشاف الهجوم صعباً هو أن المهاجم لم يستخدم أدوات اختراق تقليدية، بل اعتمد على أدوات إدارة رسمية داخل Azure يستخدمها مسؤولو الأنظمة بشكل يومي.

من بين الأدوات التي لاحظتها مايكروسوفت أثناء التحقيق:

• VMAccess
• Run Command
• PowerShell

وبما أن هذه الأدوات تُستخدم عادة لإدارة الأنظمة وصيانتها، فقد بدا النشاط في السجلات شبيهاً بالعمليات الإدارية الطبيعية، ما ساعد المهاجم على التحرك داخل البيئة دون إثارة إنذارات واضحة.

سرقة البيانات على مدى عدة أيام

بلغ الهجوم ذروته عندما بدأ المهاجم استخراج بيانات حساسة من البيئة السحابية. واستمرت عملية تسريب البيانات لعدة أيام، ما يشير إلى أن المهاجم تمكن من الحفاظ على وصول مستقر دون أن يتم اكتشافه فوراً.

هذا النوع من العمليات الطويلة يسمح للمهاجمين بجمع كميات كبيرة من البيانات قبل أن يتم احتواء الاختراق.

لماذا يصعب اكتشاف هذا النوع من الهجمات؟

يوضح هجوم Storm‑2949 سبب صعوبة اكتشاف الهجمات الحديثة على البيئات السحابية. فالمهاجمون يعتمدون على:

• استخدام بيانات اعتماد صحيحة وحسابات حقيقية
• تنفيذ عمليات الاستكشاف عبر واجهات API رسمية
• رفع الصلاحيات من خلال أنظمة الأدوار المدمجة
• تشغيل أدوات إدارة معتمدة داخل المنصة

عندما يحدث كل ذلك داخل الخدمات الموثوقة نفسها، قد لا ترى أنظمة الحماية التقليدية أي نشاط ضار واضح.

توصيات مايكروسوفت لتعزيز الأمان

بعد تحليل الحادثة، أوصت مايكروسوفت المؤسسات بعدة إجراءات لتقليل خطر هذا النوع من الهجمات.

تعزيز حماية الهوية

يجب التأكد من أن اختراق حساب واحد لا يمكن أن يؤدي إلى السيطرة على بيئة المؤسسة بالكامل.

تأمين إعدادات SSPR

ينبغي مراجعة إعدادات إعادة تعيين كلمة المرور ذاتياً، خصوصاً للحسابات ذات الصلاحيات المرتفعة.

فرض المصادقة متعددة العوامل (MFA)

تفعيل MFA مع سياسات الوصول المشروط يساعد في تقليل فائدة بيانات الاعتماد المسروقة.

مراقبة نشاط Microsoft Graph API

عمليات الاستعلام المكثفة أو الأتمتة غير المعتادة قد تشير إلى نشاط استطلاعي داخل البيئة.

مراجعة صلاحيات Azure RBAC

من المهم تدقيق الأدوار الممنوحة للمستخدمين والتأكد من تطبيق مبدأ أقل صلاحية ممكنة.

مراقبة استخدام أدوات الإدارة

يجب إعداد تنبيهات عند استخدام أدوات مثل VMAccess أو Run Command أو PowerShell في بيئات لا تُستخدم فيها عادة.

تقييد الوصول إلى الموارد الحساسة

الخدمات عالية القيمة مثل Key Vaults وقواعد البيانات والآلات الافتراضية يجب أن تكون محمية بمراقبة صارمة وضوابط وصول دقيقة.

الدرس الأكبر من حادثة Storm‑2949

تؤكد هذه الحادثة أن الهوية الرقمية أصبحت اليوم السطح الهجومي الأساسي في البيئات السحابية. فبمجرد السيطرة على حساب واحد، يستطيع المهاجم استغلال واجهات API وأنظمة الصلاحيات وأدوات الإدارة للتحرك داخل البنية السحابية دون الحاجة إلى نشر أي برمجيات خبيثة.

بالنسبة لفرق الأمن، يعني ذلك أن الدفاع الفعّال لم يعد يقتصر على حماية الأجهزة أو اكتشاف الملفات الضارة، بل يتطلب رؤية شاملة لسلوك الهويات الرقمية، واستخدام واجهات API، وتغييرات الصلاحيات داخل البيئة السحابية بالكامل.