حذرت شركة مايكروسوفت من حملة تصيد إلكتروني متطورة تستغل برامج الإدارة والمراقبة الشرعية للأجهزة من أجل منح المهاجمين وصولًا دائمًا إلى الأنظمة المستهدفة، في مؤشر جديد على التحول المتزايد نحو استخدام الأدوات القانونية الموثوقة كستار لإخفاء الأنشطة الخبيثة وتقليل فرص اكتشافها من قبل فرق الأمن السيبراني.
وتعتمد الحملة على توزيع برنامج MSP360 Remote Monitoring and Management المعروف اختصارًا بـ MSP360 RMM، عبر رسائل تصيد إلكتروني مصممة بعناية، قبل استخدامه كمنصة أولية لتثبيت أداة إدارة عن بُعد ثانية هي ConnectWise ScreenConnect، ما يمنح المهاجمين قناتين مستقلتين للتحكم بالأجهزة المخترقة.
ويعكس هذا الأسلوب اتجاهًا متناميًا في عالم الجرائم الإلكترونية يُعرف باسم Living off the Land، حيث يلجأ المهاجمون إلى استغلال أدوات شرعية مستخدمة بالفعل داخل المؤسسات بدلًا من الاعتماد على البرمجيات الخبيثة التقليدية التي يسهل اكتشافها.
رسائل تصيد متنكرة في هيئة دعوات واجتماعات وتحديثات برامج
بحسب فريق أبحاث الأمن في مايكروسوفت، بدأت الهجمات التي تم رصدها خلال يوليو 2026 برسائل بريد إلكتروني احتوت على ملفات تنفيذية موقعة رقميًا لبرنامج MSP360 RMM، ولكن بأسماء مضللة صُممت لخداع الضحايا وإقناعهم بتشغيلها.
ومن بين الأسماء التي استخدمها المهاجمون:
VIP_ECARD_INVITATION
ZoomSetup Installation
PDF Reader & Editor
RSVP Invitation
SSA.GOV Statement
وتعمد المهاجمون اختيار أسماء ترتبط بالدعوات الإلكترونية والاجتماعات الافتراضية ومستندات PDF أو الإشعارات الحكومية، مستفيدين من اعتياد الموظفين على التعامل اليومي مع مثل هذه الملفات.
كما جرى استضافة الملفات على بنى تحتية خاضعة لسيطرة المهاجمين، إلى جانب خدمات سحابية شرعية واسعة الاستخدام مثل Amazon S3 وCloudflare R2 وDropbox وGitLab وSupabase، الأمر الذي يزيد من صعوبة اكتشاف النشاط المشبوه أو حظره بشكل استباقي.
MSP360 يتحول إلى نقطة ارتكاز أولية داخل الأنظمة المخترقة
عند تشغيل الملف، يبدأ برنامج التثبيت سلسلة من العمليات المصممة لتثبيت نفسه بصلاحيات مرتفعة داخل نظام ويندوز.
ويقوم البرنامج بإعادة تشغيل نفسه عبر آلية التحكم بحساب المستخدم UAC للحصول على صلاحيات إدارية، ثم يثبت خدمات دائمة داخل النظام تضمن استمرارية الوصول حتى بعد إعادة تشغيل الجهاز.
وتتضمن هذه العملية إنشاء خدمتين رئيسيتين:
RMM.Agent.exe
RMM.Agent.Launcher.exe
كما يُنشئ إدخالات تشغيل تلقائي داخل سجل ويندوز لضمان تشغيل البرنامج تلقائيًا عند تسجيل دخول المستخدم.
ولا يتوقف الأمر عند ذلك، إذ يعدّل إعدادات جدار الحماية Windows Firewall للسماح باستقبال اتصالات واردة عبر المنفذ 48678 المستخدم من قبل برنامج MSP360، ما يفتح قناة اتصال مستقرة للمهاجمين داخل البيئة المستهدفة.
قناة تحكم ثانية تمنح المهاجمين مرونة أكبر
بعد نجاح تثبيت MSP360، يستغل المهاجمون إمكاناته الشرعية لتشغيل أوامر PowerShell بصورة خفية، والتي تُستخدم لاحقًا لتنزيل وتثبيت برنامج ScreenConnect.
وتكمن خطورة هذه المرحلة في أن ScreenConnect هو أيضًا برنامج شرعي واسع الانتشار في بيئات الدعم الفني والإدارة التقنية، ما يجعل الأنشطة الناتجة عنه تبدو طبيعية ضمن حركة العمل اليومية.
ويؤدي الجمع بين MSP360 وScreenConnect إلى توفير ما يشبه نظام الوصول الاحتياطي، بحيث يحتفظ المهاجمون بقناة بديلة إذا تم اكتشاف إحدى الأداتين أو تعطيلها.
كما تسمح البنية المزدوجة بنقل ملفات إضافية وتنفيذ برامج وأوامر لاحقة داخل البيئة المخترقة دون الحاجة إلى أدوات اختراق تقليدية قد تثير إنذارات أنظمة الحماية.
مرحلة ما بعد الاختراق وجمع البيانات الحساسة
أوضحت مايكروسوفت أن الوصول الذي يتم الحصول عليه عبر الأداتين يُستخدم لاحقًا لتنفيذ أنشطة متعددة تشمل جمع المعلومات عن الأنظمة والشبكات المستهدفة، والوصول إلى بيانات الاعتماد وكلمات المرور، بالإضافة إلى نشر أدوات أخرى تساعد في توسيع نطاق الاختراق داخل المؤسسة.
ويتم تشغيل العديد من هذه الأدوات باستخدام وظيفة RunFile الأصلية الموجودة في ScreenConnect، ما يسمح للمهاجمين بتنفيذ الملفات الخبيثة من خلال وظائف مشروعة مضمنة داخل البرنامج نفسه.
وتؤدي هذه الإستراتيجية إلى تمويه الأنشطة الضارة داخل حركة الإدارة التقنية المعتادة، وهو ما يعقد مهمة المحللين الأمنيين عند محاولة التمييز بين الأنشطة المشروعة والأنشطة المرتبطة بالاختراق.
المهاجمون يوسعون دائرة الأدوات الشرعية المستغلة
ولم تقتصر الهجمات على MSP360 فقط، إذ كشفت مايكروسوفت عن حملة أخرى منفصلة رُصدت خلال يوليو 2026 استُخدم فيها برنامج Faronics Deploy Agent كوسيلة أولية للوصول إلى الأنظمة المستهدفة قبل تثبيت ScreenConnect.
ويشير هذا النمط إلى أن المهاجمين لا يعتمدون على أداة بعينها، بل يتجهون إلى استغلال مجموعة واسعة من برامج الإدارة عن بُعد المعروفة داخل المؤسسات، بما يضمن استمرار قدرتهم على الوصول حتى إذا جرى رصد إحدى الأدوات أو حظرها.
ويحذر خبراء الأمن السيبراني من أن إساءة استخدام حلول الإدارة والمراقبة الشرعية أصبحت من أبرز التحديات الأمنية الحديثة، لأن هذه البرامج تُستخدم بالفعل داخل مئات الآلاف من المؤسسات حول العالم، ما يجعل حظرها بالكامل خيارًا غير عملي في أغلب الأحيان.
تصاعد ظاهرة «البرامج الشرعية كسلاح هجومي»
تكشف هذه الحملة عن تطور واضح في أساليب المهاجمين الذين باتوا يفضلون استغلال التطبيقات الإدارية والقنوات المصرح بها داخل المؤسسات بدلًا من الاعتماد على البرمجيات الخبيثة التقليدية. فهذا النهج يمنحهم مزايا متعددة تشمل البقاء لفترات أطول داخل الشبكات، وتقليل احتمالات الرصد، والعمل تحت غطاء العمليات التقنية المشروعة.
كما تؤكد الواقعة أن أدوات RMM أصبحت هدفًا مفضلًا للمهاجمين خلال السنوات الأخيرة، خاصة مع توسع العمل عن بُعد وازدياد اعتماد المؤسسات على منصات الإدارة المركزية للأجهزة والخوادم.
وفي ظل هذا الواقع، لم يعد التركيز على اكتشاف البرمجيات الضارة وحدها كافيًا، بل أصبح من الضروري مراقبة استخدام البرامج الشرعية نفسها، والتدقيق في أنماط تشغيلها وصلاحياتها وسلوكياتها التشغيلية، للكشف المبكر عن محاولات استغلالها كمنصات اختراق متخفية داخل البيئات المؤسسية.
