Microsoft 365: تصيد AitM معقد يسرق بيانات الرواتب المالية

مقدمة تحليلية

في 7 أغسطس 2026، كشفت Arctic Wolf Labs عن حملة تصيد واسعة النطاق تعتمد على البريد الإلكتروني، وتستخدم تقنيات هجوم الوسيط (AitM) للسيطرة على حسابات Microsoft 365. استهدفت هذه الحملة مئات المؤسسات في قطاعات الرعاية الصحية والتعليم والتصنيع والحكومة والخدمات المهنية عبر الولايات المتحدة وكندا وأوروبا، مما أسفر عن اختراقات ناجحة في مجموعة واسعة من بيئات الضحايا. الهدف الأساسي للمهاجمين هو تحديد الموظفين الرئيسيين في تدفقات العمل المالية وجمع رسائل البريد الإلكتروني المتعلقة بالرواتب والتمويل. يشترك هذا النشاط في تداخلات تكتيكية مع هجمات Payroll Pirate التي تتبعها Microsoft تحت مسمى Storm-2755، ويعود بعض جوانب هذه الحملات إلى أوائل عام 2025، مع رصد Microsoft لتهديد ذي صلة باسم Storm-2657، مما يؤكد الطبيعة المستمرة والموجهة مالياً لهذه العمليات.

التحليل التقني

تعتمد الحملة على سلسلة هجومية معقدة تبدأ برسائل تصيد احتيالي بأسلوب البريد الصوتي، توجه الضحايا إلى صفحات خداع بتقنية AitM. تعمل هذه الصفحات كوكيل لتدفق مصادقة حساب Microsoft الشرعي، وتقوم بالاستيلاء على بيانات الاعتماد ورموز المصادقة متعددة العوامل (MFA) بشكل سري. يتم تحقيق ذلك عبر سلسلة إعادة توجيه من ست مراحل تستخدم خدمات شرعية وموثوقة مثل Google وGoogle Meet وGoogle Ads وAmazon S3 لتجاوز فلاتر السمعة. تبدأ السلسلة برابط Google Meet، وتستمر عبر بنية Google التحتية للروابط الخارجية، قبل الوصول إلى متعقب نقرات ديناميكي لـCampaign Manager (/ddm/clk). يوجه الرابط المستهدف المضمن في المتعقب إلى كائن HTML مستضاف في سلة Amazon AWS S3، ثم تعيد الصفحة المستضافة على S3 توجيه الضحية إلى البنية التحتية للتصيد بتقنية AitM.

تستخدم صفحات التصيد JavaScript لبصم المضيف الزائر، وجمع معلومات حول المتصفح ونظام التشغيل وأبعاد الشاشة والنافذة ولغة المتصفح وإزاحة المنطقة الزمنية وقدرات الكوكيز وحالة WebDriver وبائع WebGL وتوفر واجهة برمجة تطبيقات المتصفح (browser API). تُرسل هذه المعلومات إلى نقطة نهاية PHP عبر طلب HTTP POST، ثم يعيد السكريبت توجيه المتصفح إلى نقطة نهاية ترخيص OAuth من Microsoft التي يتم وكيلتها. كما يستعلم السكريبت واجهة برمجة التطبيقات api.country[.]is للحصول على رمز دولة الطالب، ويخزن النتيجة في كوكيز “rcfh_country” بمدة صلاحية سبعة أيام. بمجرد الحصول على الوصول الأولي، يستغل المهاجمون الجلسات المخترقة لجمع رسائل البريد الإلكتروني من موظفي الرواتب والموارد البشرية المشاركين في الشؤون المالية داخل المؤسسة.

آليات التخفي والثبات

تكشف الاختبارات المتحكم بها أن نشاط تسجيل الدخول الضار ينشأ في غضون دقائق من عقد خروج وكيل سكني (residential proxy exit node) في بلد الضحية، مما يشير إلى أن المهاجمين يستفيدون من بيانات الموقع الجغرافي لاختيار بنية تحتية للوكيل تتطابق جغرافياً مع الضحية لتسجيلات الدخول اللاحقة، بهدف التهرب من ضوابط الأمان التي تمنع الوصول من عناوين IP غير المعتادة. وقد أظهرت بعض أحداث تسجيل الدخول هذه “مجموعات غير معقولة من المتصفحات وأنظمة التشغيل”، مثل إصدارات الجوال من Apple Safari أو Google Chrome على Windows 10. بعد 11 إلى 24 ساعة من النشاط الأولي غير الطبيعي، بدأت تسجيلات الدخول الضارة تتكرر على فترات تبلغ حوالي ثماني ساعات من عناوين وكلاء سكنية متناوبة. أبلغت هذه الأحداث عن استخدام Microsoft Outlook كتطبيق عميل، لكنها استخدمت وكلاء مستخدمين مثل Firefox 131.0 أو Firefox 151.0 أو أحياناً Python Requests بدلاً من وكيل مستخدم Edge المتوقع.

احتفظت تسجيلات الدخول المتكررة بنفس معرف الجلسة (SessionID) بينما تغير عنوان IP المصدر وASN والموقع الجغرافي، مما يقدم دليلاً إضافياً على أن الأتمتة المركزية كانت تقوم بتحديث كل جلسة مخترقة بشكل مستقل. كما اعتمد المهاجمون على واجهة برمجة تطبيقات Microsoft Graph API لتعداد مستخدمي المستأجر المرتبطين بوظائف الرواتب والموارد البشرية والمالية والإدارية، ثم الوصول إلى الرسائل المتعلقة بالرواتب والفواتير والمدفوعات والمصارف والمزايا والمستندات الداخلية. في معظم الاختراقات التي حققت فيها Arctic Wolf، اقتصرت الإجراءات اللاحقة للاختراق على صيانة الجلسة والاستطلاع وجمع محتويات صناديق البريد. لم يتم رصد أي نشاط آخر، بما في ذلك تغييرات طرق المصادقة متعددة العوامل (MFA)، أو تسجيل الأجهزة، أو تعديل بيانات الاعتماد، أو التصيد الجانبي، أو إنشاء قواعد صندوق البريد، باستثناء عدد قليل من الحالات التي تضمنت تدخل المهاجمين يدوياً لإنشاء قواعد في صندوق البريد تقوم بنقل رسائل معينة تلقائياً من البريد الوارد إلى العناصر المحذوفة ووضع علامة عليها كمقروءة.

السياق وتأثير السوق

تمثل حملة التصيد الاحتيالي هذه امتداداً لهجمات “Payroll Pirates”، وهي مجموعة تهديد واسعة النطاق ذات دوافع مالية تركز على اختطاف حسابات الموظفين لإعادة توجيه مدفوعات الرواتب إلى حسابات يسيطر عليها المهاجمون. لقد كانت Microsoft تتتبع هذه الأنشطة منذ أوائل عام 2025 تحت مسميات Storm-2657 وStorm-2755، مما يشير إلى منهجية مستمرة ومتطورة. يؤكد استخدام تقنيات AitM تحولاً في المشهد التهديدي، حيث تتجاوز هذه الهجمات المصادقة متعددة العوامل (MFA) التي كانت تعتبر في السابق حلاً قوياً ضد سرقة بيانات الاعتماد التقليدية. هذا يعني أن المؤسسات التي اعتمدت على المصادقة متعددة العوامل كخط دفاع أساسي تجد نفسها الآن عرضة بشكل مباشر لمتجهات هجوم أكثر تعقيداً.

المنافسة في ساحة الأمن السيبراني ضد هذه التهديدات تتطلب الآن من الشركات والموردين أن يتجاوزوا مجرد تطبيق المصادقة متعددة العوامل، وأن يركزوا على اكتشاف الأنماط السلوكية الشاذة بعد تسجيل الدخول، حتى لو كانت الجلسة معتمدة. إن استخدام المهاجمين لسلاسل إعادة توجيه من ست مراحل عبر خدمات شرعية مثل Google وAmazon S3 لتمويه مسار الهجوم، يضع عبئاً إضافياً على أنظمة الدفاع التقليدية القائمة على السمعة. علاوة على ذلك، فإن استخدام الوكلاء السكنية (residential proxies) في نفس بلد الضحية يُصعّب اكتشاف الأنشطة الضارة، حيث تبدو عمليات تسجيل الدخول وكأنها صادرة من حركة مرور مستهلكين عادية، مما يحد من فعالية قوائم الحظر التقليدية لعناوين IP أو الكشف الجغرافي المبسّط. هذا النهج التخفي، الذي يتضمن صيانة الجلسات على فترات تبلغ حوالي ثماني ساعات، يؤخر الاكتشاف ويجعل ربط النشاط اللاحق بحدث التصيد الأصلي أمراً أكثر صعوبة، مما يتطلب استراتيجيات أمنية أكثر تكيفاً ومراقبة مستمرة لسلوك المستخدم.

رؤية Glitch4Techs

تمثل هذه الحملة تطوراً خطيراً في تهديدات التصيد الاحتيالي وتثبت بشكل قاطع فشل المصادقة متعددة العوامل التقليدية كدفاع منفرد ضد الهجمات المتطورة. إن تكتيكات المهاجمين، التي تشمل تجاوز المصادقة متعددة العوامل عبر AitM واستخدام وكلاء سكنية متناوبة ضمن نفس المنطقة الجغرافية للضحية، ليست مجرد استغلال لثغرات تقنية بل هي إشارة إلى فهم عميق لآليات الكشف والحواجز الأمنية الحالية. التزام المهاجمين بعدم تغيير طرق المصادقة متعددة العوامل أو تسجيل الأجهزة أو إنشاء قواعد بريد وارد واسعة النطاق في معظم الحالات، لتقييد فرص الكشف المبكر، يكشف عن تخطيط محكم وعدم رغبة في المجازفة بنشاط صاخب. هذا ليس تهديداً جديداً بالكامل، بل هو تكرار مصقول لـ Storm-2755 وStorm-2657، يعود تاريخ بعض جوانبه إلى أوائل عام 2025، مما يدل على استمرارية ونضج هذه المجموعات التهديدية.

إن الاعتماد على وكلاء سكنية تنشأ في غضون دقائق من بلد الضحية وصيانة الجلسات على فترات زمنية دقيقة تبلغ حوالي ثماني ساعات يحطم الافتراضات الأساسية لأنظمة الكشف عن الشذوذ القائمة على الموقع الجغرافي والوقت، ويجعل الكشف المبكر صعباً للغاية.