هجمات استعادة الرموز تستهدف 97 حساباً في Microsoft 365

مقدمة تحليلية

اختُرق ما لا يقل عن 97 حساباً ضمن 79 منظمة تستخدم خدمات Microsoft 365، وذلك عبر حملة هجمات استعادة الرموز (token-replay attacks) التي استغلت تقنية الوسيط في المنتصف (Adversary-in-the-Middle - AitM). كشفت شركة Huntress للأمن السيبراني عن هذه النشاطات بين 14 يوليو و22 سبتمبر 2026، حيث رصدت 497 عملية تسجيل دخول ناجحة إلى Microsoft 365 من أصل أكثر من 200,000 محاولة تسجيل دخول. لم يعتمد المهاجمون على تخمين كلمات المرور، بل أعادوا استخدام رموز تسجيل الدخول المسروقة، مع تتبع أكثر من 200,000 محاولة دخول فاشلة من نطاق IP 193.26.115[.]0/24. وقد أسفرت هذه الهجمات عن تسجيل 48 جهاز Entra زائفة، مما يبرز ثغرة خطيرة في آليات التحقق الحالية. هذا الكشف يأتي من The Hacker News، المصدر الموثوق في الأخبار الأمنية، والذي يحظى بمتابعة تزيد عن 2,300,000 متابع على تويتر و1,800,000 على فيسبوك، مما يجعله منصة ذات تأثير في نقل هذه الأنباء الحساسة.

التحليل التقني

اعتمد الهجوم على صفحة تسجيل دخول AitM تعمل كوسيط بين الضحايا والبنية التحتية الشرعية لـ Microsoft. تقوم هذه الصفحة بالتقاط بيانات الاعتماد ورموز المصادقة متعددة العوامل (MFA) التي يدخلها الضحايا، ثم تمريرها فوراً إلى صفحة تسجيل الدخول الحقيقية. الهدف النهائي هو الحصول على رمز الوصول (access token) الصادر عن Microsoft بعد عملية تسجيل الدخول الناجحة. يتيح هذا الرمز للمهاجمين تجاوز الحاجة إلى المصادقة متعددة العوامل للمرة الثانية. يتم بعد ذلك إعادة استخدام رمز "إثبات تسجيل الدخول" (proof of login) من قبل المهاجمين من أجهزتهم الخاصة في غضون دقائق، لتنفيذ محاولات تسجيل دخول مؤتمتة ضد خدمات Microsoft 365. أُطلق على هذا الأسلوب اسم "رش الرموز" (token spraying) نظراً لإعادة استخدام العديد من الرموز المسروقة على نطاق واسع عبر عدة منظمات، على غرار هجمات رش كلمات المرور.

آليات التثبيت والتخفي

بعد الوصول الناجح، قام المهاجمون بتثبيت تطبيق المصادقة الخاص بهم كشكل من أشكال الثبات لتجاوز تحديات MFA لعمليات تسجيل الدخول الجديدة. هذا يمكّنهم من التغلب على سيناريوهات انتهاء صلاحية رمز الجلسة المسروق أو إبطاله. في 19 منظمة، أُزيلت طرق MFA الحالية للضحية وسُجلت طريقة جديدة في غضون ثلاث ساعات من تسجيل الدخول الأول. في إحدى الحالات المرصودة بتاريخ 21 يوليو 2026، قام المهاجمون بتفعيل تطبيق مصادقة جديد باسم "iPhone 13" في أقل من 51 دقيقة بعد اختطاف الجلسة. كما سُجل ما لا يقل عن 48 جهاز كمبيوتر وهمي في أدلة Microsoft للمنظمات الضحية، مما يوفر وسيلة أكثر استدامة لطلب الرموز. بالإضافة إلى ذلك، أعد المهاجمون قواعد بريد إلكتروني مخفية في صناديق البريد الوارد للضحايا بأسماء مثل "."، "sss"، "ss"، "iT"، ",."، "........"، "s"، و"d". تهدف هذه القواعد إلى حذف رسائل البريد الوارد التي تحتوي على كلمات رئيسية تشير إلى الرواتب (payroll)، الودائع (deposit)، والمكافآت (bonus)، أو نقلها إلى مجلدات غير واضحة مثل RSS Feeds وConversation History. في أحد صناديق البريد المخترقة، وُضعت قاعدة بريد إلكتروني لتمييز جميع الرسائل الواردة كمقروءة وحذفها، ثم استُخدم صندوق البريد لإرسال بريد عشوائي إلى مئات المستلمين الخارجيين قبل أن يصنف Microsoft Entra ID Protection الحساب على أنه عالي المخاطر.

أصول الهجوم والبنية التحتية

أشارت Huntress إلى أن الرموز نشأت من مصادر متعددة، بما في ذلك وسيط AitM خلف صفحات تسجيل دخول وهمية، وهجمات التصيد الاحتيالي عبر رموز الأجهزة (device-code phishing)، والهندسة الاجتماعية أثناء عملية تسجيل دخول شرعية. رُصدت الحملة لأول مرة من عنوان IP روماني 193.26.115[.]221، والذي تُشير بيانات VirusTotal إلى استخدامه من قبل حصان طروادة للوصول عن بعد (AsyncRAT). يرتبط عنوان IP هذا بمزود استضافة ألماني يدعى 1337 Services GmbH. تُظهر بيانات GreyNoise حالياً 29 عنوان IP يطابق مزود الاستضافة، منها 10 صُنفت كخبيثة وخمسة مشبوهة. الجدير بالذكر أن هذا الكيان مرتبط بـ StarkRDP و rdp[.]sh، اللذين يسمحان "للعملاء" بتأجير خوادم افتراضية.

السياق وتأثير السوق

تُعد هجمات استعادة الرموز تحدياً متزايداً لأنها تتجاوز نقطة ضعف المصادقة متعددة العوامل الأساسية، والتي كان يُنظر إليها سابقاً كحصن أخير ضد الاختراقات التقليدية لكلمات المرور. بدلاً من محاولة فك تشفير أو تخمين بيانات الاعتماد، يستغل المهاجمون تدفق المصادقة نفسه، مما يحوّل قوة MFA إلى مجرد خطوة أولى يمكن اعتراضها. هذا يضع خدمات مثل Microsoft 365 في موقف حرج، حيث يعتمد أمنها على نماذج ثقة يمكن اختراقها عند نقطة تسجيل الدخول الأولية. تتضح خطورة الوضع بالنظر إلى البنية التحتية التي تدعم هذه الهجمات. فقد تعرضت نطاقات StarkRDP و rdp[.]sh للاستيلاء عليها في يناير 2025، إلى جانب مواقع Nulled و Cracked و Sellix، كجزء من عملية إنفاذ قانون دولية أُطلق عليها اسم Talent. هذه العملية كانت تهدف إلى تفكيك الشبكات التي تُقدم خدمات تسهل الجريمة السيبرانية. ومع ذلك، عادت المنصتان للعمل، حيث أعيدت تسمية StarkRDP الآن إلى exy[.]sh. صرح حساب StarkRDP على تيليجرام بتاريخ 30 يناير بأنهم يعملون "وفقاً للقانون" وأن "العملية القانونية ستؤكد ذلك"، مؤكدين أن ما صودر هو "خادم الموقع ونطاقنا" فقط وأنهم سيعيدون تشغيل العمليات "تحت اسم مختلف". هذا التكرار في ظهور هذه الخدمات يمثل تحدياً مستمراً لجهات إنفاذ القانون ولأمن الشركات على حد سواء، ويشير إلى أن سوق تأجير الخوادم الافتراضية للجريمة السيبرانية لا يزال نشطاً ومرناً. تتطلب هذه البيئة من المؤسسات إعادة تقييم سياسات الوصول المشروط (Conditional Access Policies - CAPs) كخط دفاع إضافي، حيث يجب أن تتطلب CAPs المصادقة متعددة العوامل (أو الحظر) لجميع المستخدمين وجميع تطبيقات السحابة وجميع أنواع تطبيقات العميل دون قيد أو شرط، وهو إجراء يفوق مجرد التفعيل الأساسي لـMFA.