كشفت تقارير أمنية حديثة أن مجموعة التصيّد Kali365 طورت أسلوبًا جديدًا لاستغلال تسجيل الدخول الشرعي عبر مايكروسوفت، وتحويله إلى بوابة للوصول إلى بيانات الشركات الأميركية. هذه التقنية تعتمد على رموز الأجهزة (Device Codes) التي يُدخلها الضحايا في صفحة تسجيل الدخول الرسمية لمايكروسوفت، مما يمنح المهاجمين وصولًا مستمرًا إلى البريد الإلكتروني والملفات والموارد السحابية.
آلية الهجوم عبر Kali365
وفقًا لتحليلات منصة ANY.RUN، يتم تسجيل أكثر من 80 جلسة عامة مرتبطة بالحملة أسبوعيًا، مع تركيز واضح على المؤسسات الأميركية. الهجوم يتكون من ثلاث مراحل رئيسية:
- الطُعم (Lure): صفحة مزيفة تحاكي خدمات موثوقة مثل SharePoint أو OneDrive أو DocuSign.
- المصادقة عبر مايكروسوفت: إعادة توجيه الضحية إلى بوابة تسجيل الدخول الشرعية وإدخال رمز الجهاز الذي يسيطر عليه المهاجم.
- الوصول عبر OAuth: بمجرد إتمام المصادقة، يحصل المهاجمون على رموز وصول وتجديد تتيح لهم البقاء داخل بيئة Microsoft 365 لفترات طويلة.
المخاطر على المؤسسات الأميركية
تُظهر الحملة أن مجرد موافقة واحدة على رمز جهاز يمكن أن تتحول إلى اختراق واسع النطاق، مع تداعيات تشمل:
- الاحتيال المالي: التلاعب بالفواتير ورسائل البريد لدعم عمليات الاحتيال.
- تسريب البيانات الحساسة: الوصول إلى البريد الداخلي، ملفات العملاء، والمستندات السرية.
- تعطيل العمليات: التدخل في الخدمات السحابية والاتصالات اليومية.
- ارتفاع تكاليف الاستجابة: صعوبة اكتشاف الهجوم بسبب استخدام صفحة تسجيل دخول شرعية.
- مخاطر الامتثال والسمعة: كشف بيانات خاضعة للتنظيم قد يؤدي إلى التزامات قانونية وفقدان الثقة.
أولويات لتقليل المخاطر
أوصى الخبراء بثلاثة محاور رئيسية لمواجهة خطر Kali365:
- توسيع نطاق الكشف عبر استخبارات التصيّد: تحديث مستمر لمؤشرات الاختراق (IOCs) وربطها بأنظمة SIEM وSOAR وجدران الحماية.
- تمكين فرق الاستجابة من الأدلة الكاملة: استخدام منصات تحليل تفاعلية مثل ANY.RUN للكشف السريع عن سلسلة الهجوم من الطُعم حتى المصادقة.
- تحويل البحث الأمني إلى دفاع استباقي: مراجعة بيانات الحملات النشطة، البنية التحتية المرتبطة، وأنماط الاستهداف لتجهيز فرق الأمن قبل وصول الهجوم.
دلالات استراتيجية
تُبرز حملة Kali365 أن المصادقة السحابية أصبحت هدفًا رئيسيًا للهجمات، حيث يُستغل التدفق الشرعي لتسجيل الدخول لإخفاء النشاط الخبيث. التحدي أمام مسؤولي الأمن هو القدرة على التمييز بين تسجيل دخول طبيعي وتسجيل دخول تم التلاعب به، واحتواء التهديد قبل أن يتوسع إلى سرقة بيانات أو تعطيل العمليات.
