كشفت شركة مايكروسوفت عن تحقيقات تتعلق بحوادث اختراق استهدفت مؤسسات عبر أسلوب يجمع بين الهندسة الاجتماعية وسوء تهيئة خدمات الشهادات في الدليل النشط (Active Directory Certificate Services – AD CS)، حيث نجح مهاجمون في انتحال صفة فرق الدعم الفني على منصة Microsoft Teams لإقناع موظفين بمنحهم وصولاً مباشراً إلى أجهزتهم، الأمر الذي انتهى في إحدى الحالات بسرقة بيانات مؤسسية ونقلها إلى خوادم خارجية.
وأوضحت مايكروسوفت أن الهجمات لم تعتمد على أي ثغرة أمنية في منصة Teams نفسها، بل استغل المهاجمون ثقة الموظفين وإعدادات غير آمنة داخل بيئات Active Directory، وهو ما سمح لهم بالحصول على شهادات وصول ذات امتيازات مرتفعة للغاية، وصولاً إلى شهادات خاصة بوحدات التحكم بالمجال (Domain Controllers).
كيف بدأت سلسلة الاختراق عبر Microsoft Teams؟
بحسب التقرير، بدأت الهجمات برسائل ومكالمات عبر Microsoft Teams من حسابات خارجية استخدمت أسماء توحي بأنها أقسام الدعم الفني أو مكاتب المساعدة التابعة للمؤسسة المستهدفة. وقد نجح المهاجمون في إضفاء طابع شرعي على تواصلهم من خلال مسميات مرتبطة بالدعم التقني، ما دفع بعض الموظفين إلى التفاعل معهم دون إثارة الشكوك.
بعد ذلك، أقنع المهاجمون الضحايا بتشغيل أداة Quick Assist المدمجة في نظام Windows، وهي أداة مخصصة لتقديم الدعم الفني عن بُعد. وبمجرد مشاركة رمز الاتصال مع المهاجم، حصل الأخير على سيطرة مباشرة وتفاعلية على الجهاز المستهدف.
وعقب الوصول إلى الجهاز، قام المهاجمون بتنزيل ملفات مضغوطة داخل مجلد التنزيلات، ثم فكّها في مجلدات تحمل أسماء تحاكي تحديثات ويندوز الشرعية. كما استخدموا بيئات تشغيل محمولة مثل Python وJava وBun لتنفيذ الأدوات الخبيثة دون الحاجة إلى تثبيت برامج إضافية قد تستدعي انتباه فرق الحماية.
وتبرز هذه المرحلة أهمية العنصر البشري في الأمن السيبراني، إذ باتت الهجمات الحديثة تعتمد بشكل متزايد على إقناع المستخدمين بتنفيذ خطوات تمنح المهاجمين ما يحتاجونه من صلاحيات بدلاً من البحث عن ثغرات تقنية مباشرة.
شهادات AD CS.. بوابة خطيرة نحو الامتيازات العليا
تمثل خدمات Active Directory Certificate Services إحدى الركائز الأساسية في بيئات ويندوز المؤسسية، حيث تُستخدم لإصدار شهادات رقمية تسمح للمستخدمين والأجهزة بالمصادقة والوصول إلى الموارد المختلفة.
وتحذر مايكروسوفت من أن القوالب المهيأة بشكل غير صحيح داخل AD CS قد تمنح المهاجمين فرصة إصدار شهادات باسم حسابات ذات امتيازات مرتفعة. والأسوأ من ذلك أن هذه الشهادات يمكن أن تستمر في العمل حتى بعد إعادة تعيين كلمات المرور أو إعادة تهيئة الأجهزة المخترقة، ما يجعلها وسيلة فعالة للحفاظ على الوصول المستمر داخل الشبكة.
في الحادثة الأولى، استغل المهاجمون ضعفاً معروفاً باسم ESC1، وهو تكوين غير آمن يسمح لمقدّم الطلب بتحديد هوية الحساب الذي ستمثله الشهادة. وبذلك أصبح بإمكان مستخدم محدود الصلاحيات إصدار شهادة تنتحل هوية حساب إداري عالي الامتياز.
استهدفت الموجة الأولى ثلاثة مستخدمين ومحطة عمل واحدة، وأسفرت عن إصدار شهادات لثلاثة حسابات ذات صلاحيات واسعة. ورغم نجاح آليات Microsoft Defender في تعطيل معظم الهجوم وقطع الجلسات النشطة، فإن أحد الحسابات الإدارية لم يكن مشمولاً بالإجراءات الآلية المتخذة، ما أتاح للمهاجمين الاحتفاظ بنقطة دخول فعالة.
وبعد نحو 90 دقيقة فقط، نفذ المهاجمون موجة ثانية أوسع استهدفت 16 مستخدماً وجهازاً إضافياً، ما أدى إلى الحصول على شهادات لثمانية حسابات إدارية أخرى. وتمكنت أنظمة الحماية من منع أكثر من ألف محاولة لاحقة لتسجيل الدخول أو الوصول إلى الملفات عبر بروتوكول SMB.
من سرقة الشهادات إلى السيطرة على الدومين
أظهرت التحقيقات أن المهاجمين استغلوا الشهادات المكتسبة بسرعة فائقة. فبعد ثوانٍ من الحصول على إحدى الشهادات، تمكنوا من تسجيل الدخول إلى وحدة التحكم بالمجال وتنفيذ عملية DCSync، وهي تقنية تسمح بنسخ بيانات كلمات المرور المخزنة داخل Active Directory.
ورغم أن إجراءات الاحتواء حدّت من حجم البيانات التي أمكن استنساخها، فإن مايكروسوفت لم تكشف عن كمية بيانات الاعتماد التي حصل عليها المهاجمون فعلياً.
كما استُخدم الحساب الإداري الذي لم تشمله عملية الاحتواء للوصول إلى خادم ملفات المؤسسة، حيث جرى تشغيل نسخة مُعاد تسميتها من أداة Rclone الشهيرة بهدف نقل البيانات إلى خادم SFTP خارجي. ولم توضح الشركة حجم البيانات التي تم تسريبها.
وفي حادثة ثانية، لم يكن ضعف ESC1 موجوداً، ولذلك اتبع المهاجمون مساراً مختلفاً باستخدام تقنية PetitPotam التي تجبر وحدة التحكم بالمجال على المصادقة تجاه خادم يتحكم فيه المهاجم.
ومن خلال تمرير مصادقة NTLM إلى صفحة التسجيل عبر الويب الخاصة بخدمات AD CS، وهي تقنية تُعرف باسم ESC8، نجح المهاجمون في إصدار شهادة رقمية لوحدة التحكم بالمجال نفسها دون الحاجة إلى كلمة مرور. ثم استخدموا بروتوكول Kerberos وآلية PKINIT للحصول على تذكرة منح التذاكر الخاصة بوحدة التحكم، ما حوّل وصولاً مؤقتاً إلى هوية دائمة وموثوقة داخل البيئة المؤسسية.
إلا أن الفرق الأمني تمكن هذه المرة من احتواء الهجوم بسرعة بعد ظهور تنبيهات ESC8 وعزل محطة العمل المتأثرة، الأمر الذي حال دون تنفيذ نشاط إضافي.
الدروس الأمنية وإجراءات الحماية المطلوبة
تشير هذه الهجمات إلى أن الخطر الحقيقي لا يكمن دائماً في الثغرات البرمجية، بل في سوء الإعدادات الأمنية وضعف التحقق من هويات المتصلين. لذلك أوصت مايكروسوفت المؤسسات بضرورة التحقق من أي طلب دعم فني غير متوقع عبر قنوات داخلية معروفة قبل مشاركة الشاشة أو منح التحكم عن بُعد.
كما شددت على تقييد الاتصالات الواردة من مستأجرين خارجيين على Microsoft Teams، والاكتفاء بأدوات الدعم الفني المعتمدة فقط داخل المؤسسة.
وفي جانب إدارة الشهادات، أوصت الشركة بمراجعة جميع قوالب AD CS والتأكد من عدم السماح للمستخدمين بتحديد الحسابات التي ستمثلها الشهادات، إلى جانب إزالة صلاحيات التسجيل غير الضرورية وتقليص نطاق الوصول إلى أقل حد ممكن.
كذلك دعت إلى تفعيل بروتوكول HTTPS وتشغيل ميزة Extended Protection for Authentication (EPA) على نقاط التسجيل الخاصة بـ AD CS، مع تعطيل NTLM كلما كان ذلك ممكناً، فضلاً عن تفعيل تدقيق الشهادات بشكل مستمر ومراجعة تذاكر Kerberos النشطة عند اكتشاف أي شهادة مشبوهة.
ويكتسب هذا التقرير أهمية خاصة لأنه يربط بين تقنيات معروفة منذ سنوات، مثل ثغرات ESC1 وESC8 وتقنية PetitPotam، وبين هجمات فعلية شهدتها مؤسسات حقيقية في عام 2026، ما يؤكد أن المخاطر لا تزال قائمة رغم التحذيرات المتكررة. كما يسلط الضوء على نقطة محورية في عمليات الاستجابة للحوادث، وهي أن استبعاد حساب إداري واحد فقط من إجراءات الاحتواء الآلية قد يمنح المهاجمين مساراً كافياً لمواصلة الاختراق وسرقة البيانات.
