كشفت شركة Arctic Wolf عن حملة واسعة تستهدف مديري الشركات وكبار التنفيذيين عبر مكالمات دعم فني مزيفة (Vishing) مرتبطة بمنصة Microsoft 365 وخدمات SaaS أخرى. الحملة، التي تحمل الاسم PREY-0058، تشترك في أساليبها مع مجموعات ابتزاز بيانات أخرى مثل UNC6671 وCinder، ما يعكس إعادة تسمية أو استمرار عمليات سابقة مرتبطة بمجموعة Pink. يبدأ الهجوم بانتحال هوية موظفي الدعم الفني عبر مكالمات هاتفية، حيث يُوجَّه الضحايا إلى روابط مصادقة مزيفة مثل:
- assignpasskey[.]com
- mfaregister[.]com
- nowsso[.]com
- oskeysetup[.]com
- passkey-mfa[.]com
هذه الروابط تقود إلى تدفق تسجيل دخول مزيف (Adversary-in-the-Middle) يهدف إلى سرقة بيانات الاعتماد والموافقة على المصادقة متعددة العوامل (MFA) للحصول على رموز جلسات صالحة، تُستخدم لاحقاً في هجمات إعادة تشغيل الجلسات عبر بنى تحتية مثل NodeMaven.
مراحل الهجوم بعد الوصول الأولي
بعد الحصول على الرموز، يقوم المهاجمون بتنفيذ تقنيات استكشاف داخل بيئة الضحية:
- البحث في SharePoint باستخدام استعلامات مثل contentclass:STS_Site وcontentclass:STS_Web.
- استكشاف حسابات Entra ID.
- جمع البيانات بكميات كبيرة من SharePoint وOneDrive وExchange وBox.
في المرحلة الأخيرة، تُرسل مطالب الابتزاز إلى الضحايا بعد اكتمال عملية سرقة البيانات.
خصائص مميزة للهجوم
ما يميز هذه الحملة هو غياب البرمجيات الخبيثة على الأجهزة الطرفية أو التحرك الأفقي داخل الشبكة. بدلاً من ذلك، يعتمد المهاجمون على بنية تحتية واسعة من النطاقات الفرعية التي تنتحل أسماء شركات حقيقية، ما يزيد من مصداقية الهجوم. القطاعات المستهدفة تشمل: البناء والهندسة، الرعاية الصحية والأدوية، العقارات، التمويل، والخدمات المهنية، مع تركيز جغرافي على الولايات المتحدة.
توصيات الحماية
لتقليل المخاطر، ينصح الخبراء المؤسسات بما يلي:
- تطبيق سياسات Conditional Access.
- استخدام MFA مقاومة للتصيّد.
- تقليل نطاق وصول المستخدمين إلى بيانات SharePoint.
- تدريب الموظفين وفرق الدعم الفني على مخاطر التصيّد الصوتي.
- مراقبة الأنشطة غير الطبيعية مثل إعادة تشغيل الرموز عبر بروكسيات سكنية، أو الوصول الجماعي إلى SharePoint، أو إنشاء بنى تحتية جديدة مرتبطة بالمصادقة المزيفة.
