اختراق Teams وAD CS: سرقة بيانات الشركات بـ ESC1 وESC8

مقدمة تحليلية

في نوفمبر 2026، كشفت Microsoft عن تحقيقها في اختراقين حاسمين استهدفا بيانات شركات حساسة، حيث استغل المهاجمون خدمة Teams لانتحال صفة دعم تكنولوجيا المعلومات، مما سمح لهم بالسيطرة عن بُعد على أجهزة المستخدمين. ارتكز الهجوم على استغلال إعدادات Active Directory Certificate Services (AD CS) غير المؤمنة، وليس على عيب في Teams نفسها. أدت إحدى العمليتين إلى نسخ بيانات الشركة ونقلها إلى خادم خارجي عبر بروتوكول SFTP. هذا الاستغلال، الذي لم تربطه Microsoft بأي مجموعة تهديد معروفة، يعتمد بالكامل على الهندسة الاجتماعية وسوء التكوين، مؤكداً أن التهديد الفعلي يكمن في البنية التحتية المهملة وليس في الثغرات الصفرية.

التحليل التقني

بدأت كلتا عمليتي الاختراق، وفقاً لتقرير Microsoft الصادر في نوفمبر 2026، بانتحال دعم تكنولوجيا المعلومات عبر Microsoft Teams. استغل المهاجمون الثقة لدفع المستخدمين لفتح Quick Assist وقراءة رموز الاتصال، مما منحهم سيطرة مباشرة على محطات العمل. تبع ذلك إسقاط وتنفيذ نصوص برمجية خبيثة، باستخدام بيئات تشغيل محمولة مثل Python، Bun، أو Java. هذه العملية لا تستغل عيوباً في Teams نفسها، بل تعتمد على الهندسة الاجتماعية وإعدادات Active Directory Certificate Services (AD CS) غير الآمنة.

AD CS هي دور Windows الذي يصدر شهادات تسجيل الدخول؛ تسمح القوالب سيئة التكوين للمهاجم بالحصول على شهادات لحسابات مميزة تستمر في العمل حتى بعد إعادة تعيين كلمات المرور.

مسارات الاستغلال: ESC1 وESC8

في الحالة الأولى، اكتشف المهاجمون قالب شهادة بضعف ESC1، الذي يسمح لمقدم الطلب بتحديد الحساب الذي ستمثله الشهادة، مما يمكّن مستخدماً بامتيازات منخفضة من طلب شهادة لحساب مميز. استهدف الهجوم الأولي ثلاثة مستخدمين ومحطة عمل واحدة، مما أدى إلى الحصول على شهادات لثلاثة حسابات عالية الامتياز. على الرغم من استجابة Microsoft Defender التلقائية، تُرك حساب مميز واحد دون احتواء، واستُخدم بعد 90 دقيقة لاختراق 16 مستخدماً ومحطة عمل ثانية، والحصول على شهادات لثمانية حسابات مميزة إضافية. استخدم المهاجم الحساب المستثنى لتسجيل الدخول إلى وحدة تحكم المجال، وتشغيل DCSync لنسخ بيانات كلمات المرور، ونقل البيانات إلى خادم SFTP خارجي باستخدام Rclone.

الحالة الثانية لم تتضمن ضعف ESC1. بدلاً من ذلك، استخدم المهاجم تقنية PetitPotam لإجبار وحدة تحكم المجال على المصادقة على جهاز خاضع لسيطرته. جرى ترحيل تسجيل الدخول بنظام NTLM إلى صفحة تسجيل الويب الخاصة بـ AD CS، وهي إساءة استخدام تعرف بـ ESC8. أتاح هذا للمهاجم طلب شهادة لوحدة تحكم المجال نفسها، ومن ثم الحصول على تذكرة منح التذاكر عبر Kerberos (PKINIT)، مما يوفر وصولاً مستمراً. في هذه الحالة، نجحت إجراءات الاحتواء، حيث أدت تنبيهات Defender لـ ESC8 وعزل محطة العمل إلى وقف أي نشاط لاحق.

السياق وتأثير السوق

تُظهر هذه الاختراقات أن الفشل ليس في ثغرات برمجية جديدة تتطلب تحديثاً، بل في قصور الإعدادات والاستجابة التنظيمية. هذا يضع عبئاً كاملاً على مسؤولي الأمن داخل الشركات، بدلاً من بائعي البرمجيات. توصي Microsoft بسلسلة من الإجراءات الوقائية والتصحيحية، تشمل:

• مطالبة الموظفين بتأكيد أي طلب دعم غير متوقع عبر قناة داخلية معروفة قبل مشاركة الشاشة.
• مراجعة قوالب شهادات تسجيل الدخول بحثاً عن نقاط ضعف ESC1 أو حقوق تسجيل الدخول المفرطة.
• فرض استخدام HTTPS وتمكين Extended Protection for Authentication (EPA) على نقاط نهاية تسجيل الويب، وتعطيل NTLM حيثما أمكن، وهو ما تغطيه KB5005413.
• تشغيل تدقيق الشهادات لمراقبة إصدار الشهادات غير المصرح بها، ومعالجة حسابات الاستثناء من الاستجابة التلقائية يدوياً.

تأثير هذه الثغرات يتجاوز مجرد الحوادث الفردية. هذه الأساليب ليست جديدة؛ فضعف ESC1 وESC8 في الشهادات كشفه باحثون في SpecterOps عام 2021، وتقنية PetitPotam للترحيل كُشفت في العام نفسه. حتى طريقة انتحال صفة دعم Teams للحصول على وصول عن بُعد وثقتها Microsoft في أبريل 2026. هذا يعني أن الشركات التي تقع ضحية لهذه الهجمات هي تلك التي لم تطبق الإصلاحات والتوصيات المعروفة منذ سنوات.

بالنسبة لمشهد الأنظمة، فإن Windows Server 2025 يوفر حماية أفضل من خلال تفعيل EPA افتراضياً لـ AD CS، مقارنة بـ Server 2022 وServer 2019 التي تتطلب تفعيله يدوياً. هذا يمثل تحولاً في مستوى الأمان الأساسي، لكنه أيضاً يسلط الضوء على الشركات التي لا تزال تستخدم إصدارات أقدم أو لم تطبق التكوينات الموصى بها، مما يجعلها أهدافاً سهلة. المنافسون الذين يقدمون حلول إدارة هويات ووصول متكاملة (مثل Okta أو Ping Identity) قد يقدمون طبقات حماية إضافية ضد بعض جوانب الهندسة الاجتماعية أو تعقيدات AD CS، لكنهم لن يلغوا الحاجة إلى ضبط صارم لإعدادات الخدمات الأساسية مثل AD CS.