كشف باحثون في شركة ANY.RUN عن حملة تصيد إلكتروني متطورة تحمل اسم “CSuite”، تستهدف بشكل رئيسي كبار التنفيذيين وقيادات الشركات داخل الولايات المتحدة، عبر مزيج خطير من سرقة جلسات Microsoft 365 النشطة وتثبيت أدوات الإدارة والتحكم عن بعد، ما يمنح المهاجمين القدرة على اختراق الحسابات والأجهزة في آن واحد.
وتعكس هذه الحملة تطورًا ملحوظًا في أساليب التهديدات الإلكترونية الحديثة، إذ لم تعد هجمات التصيد تقتصر على سرقة كلمات المرور أو الحصول على بيانات تسجيل الدخول فحسب، بل باتت تُستخدم كبوابة للوصول المستمر إلى بيئات العمل الرقمية، بما يشمل البريد الإلكتروني والأجهزة والشبكات الداخلية.
ووفقًا لنتائج التحليل التي أجرتها ANY.RUN عبر 351 عملية فحص داخل بيئات Sandbox، جاءت الولايات المتحدة في صدارة الدول المستهدفة، حيث شكلت 51% من إجمالي الحالات المرصودة، تلتها الهند بنسبة 18%، فيما ظهرت أنشطة إضافية في أستراليا وكندا والمملكة المتحدة والفلبين وعدد من الدول الأخرى.
كيف تبدأ هجمات CSuite؟
تعتمد الحملة على أساليب اجتماعية احترافية تستغل الثقة في الخدمات الرقمية المعروفة داخل بيئات الأعمال. ويستخدم المهاجمون رسائل ومواقع مزيفة تنتحل هوية علامات تجارية شهيرة مثل Adobe وDocuSign وZoom وGoogle Meet وDropbox وMicrosoft 365.
وعادةً ما يتلقى الضحية رسالة تبدو وكأنها دعوة لاجتماع أو طلب توقيع مستند قانوني أو مشاركة ملف عمل مهم. وبمجرد تفاعل المستخدم مع الرابط المرفق، تبدأ سلسلة الهجوم بالانتقال إلى مراحل أكثر خطورة.
وقد رصد الباحثون نموذجًا لانتحال مستندات DocuSign باسم إحدى المؤسسات القانونية، حيث بدا المحتوى احترافيًا إلى حد كبير يصعب معه على المستخدم العادي اكتشاف عملية الاحتيال.
ومن هذه النقطة يمكن أن يسلك الهجوم أحد مسارين رئيسيين، أو كليهما معًا، بحسب أهداف المهاجم وطبيعة الضحية المستهدفة.
سرقة حسابات Microsoft 365 والسيطرة على الهوية الرقمية
يتمثل المسار الأول في استهداف الهوية الرقمية للمستخدمين عبر صفحات مزيفة لجمع بيانات الاعتماد أو تنفيذ هجمات Device Code Phishing التي تهدف إلى الاستيلاء على جلسات Microsoft 365 النشطة.
وتكتسب هذه الأساليب خطورتها من قدرتها على تجاوز بعض إجراءات الحماية التقليدية، إذ لا يحتاج المهاجم أحيانًا إلى كلمة المرور نفسها إذا تمكن من الاستيلاء على جلسة مستخدم صالحة.
وبمجرد الحصول على إمكانية الوصول إلى الحساب المؤسسي، يستطيع المجرمون الإلكترونيون قراءة البريد الإلكتروني ومراقبة سلاسل المحادثات الجارية ومتابعة عمليات الدفع والفواتير والتواصل مع العملاء والموردين.
كما يمكن استخدام الحساب المخترق لإرسال رسائل احتيالية جديدة من مصدر موثوق، ما يزيد من فرص سقوط موظفين وشركاء إضافيين في فخ الهجوم.
أدوات الإدارة المشروعة تتحول إلى أسلحة هجومية
أما المسار الثاني فيركز على اختراق الأجهزة نفسها من خلال تنزيل ملفات تنفيذية أو أرشيفات مضغوطة أو ملفات BAT وVBS خفيفة الحجم تعمل على تثبيت أدوات إدارة عن بعد شرعية.
ومن أبرز الأدوات المستخدمة في الحملة ScreenConnect وAction1، وهما منصتان معروفتان لإدارة الأنظمة والدعم الفني عن بُعد.
وفي إحدى العينات التي حللتها ANY.RUN، استُخدم طُعم احتيالي يحمل طابع Adobe لإقناع الضحية بتنزيل ملف BAT قام برفع الصلاحيات على الجهاز المصاب وتثبيت برنامج ScreenConnect، ما منح المهاجمين وصولًا مباشرًا ومستمرًا إلى الجهاز المستهدف.
ويُعد استخدام أدوات شرعية في الهجمات السيبرانية اتجاهًا متناميًا بين مجرمي الإنترنت، لأن هذه البرامج لا تُصنف عادة على أنها برمجيات خبيثة من قبل الكثير من حلول الحماية التقليدية، مما يجعل اكتشافها أكثر صعوبة.
لماذا تمثل CSuite تهديدًا بالغ الخطورة؟
تكمن خطورة CSuite في قدرتها على الجمع بين اختراق الحسابات واختراق الأجهزة ضمن عملية واحدة.
فبدلًا من الاكتفاء بسرقة بريد إلكتروني أو كلمة مرور، يحصل المهاجم على موطئ قدم داخل بيئة العمل يمكنه من تنفيذ مجموعة واسعة من الأنشطة التخريبية أو الاحتيالية.
ومن أبرز التداعيات المحتملة لهذه الهجمات:
- الاستيلاء الكامل على صناديق البريد الإلكتروني ومراقبة المراسلات الحساسة.
- تنفيذ عمليات احتيال مالي عبر التلاعب بالفواتير وتحويل المدفوعات إلى حسابات المهاجمين.
- الحفاظ على وصول دائم إلى الأجهزة من خلال أدوات الإدارة والتحكم عن بعد.
- استهداف موظفين آخرين داخل المؤسسة باستخدام الحسابات المخترقة.
- توسيع نطاق الاختراق إلى الشركاء والعملاء والموردين.
- زيادة تعقيد عمليات الاستجابة للحوادث نتيجة الحاجة إلى معالجة الحسابات المخترقة والأجهزة المصابة في الوقت ذاته.
قطاعات حيوية في مرمى النيران
تشير البيانات المستخلصة من عمليات التحليل إلى أن الحملة تركز بصورة خاصة على المؤسسات ذات القيمة الاقتصادية والتشغيلية المرتفعة.
وتصدرت قطاعات التكنولوجيا والتصنيع والجهات الحكومية والإدارية وشركات الاستشارات قائمة القطاعات الأكثر تعرضًا لمحاولات الهجوم.
ويرى خبراء الأمن أن اختيار هذه القطاعات ليس عشوائيًا، إذ تمثل أهدافًا غنية بالمعلومات الحساسة والبيانات المالية وسلاسل الإمداد والعقود التجارية، وهو ما يرفع من القيمة السوقية للوصول غير المشروع داخل منتديات الجرائم الإلكترونية.
كما أوضحت التحليلات أن البنية التحتية للحملة تتغير باستمرار، ما يجعل الاعتماد على القوائم التقليدية لحجب النطاقات وعناوين الإنترنت غير كافٍ لمواجهة التهديد.
ولهذا السبب ينصح المتخصصون بضرورة الجمع بين مراقبة سلوك المستخدمين وتحليل الهويات الرقمية وتتبع النشاط على الأجهزة الطرفية، مع الاعتماد على استخبارات التهديدات الحديثة والقدرات التحليلية المتقدمة لرصد مؤشرات الاختراق قبل تحولها إلى حوادث واسعة النطاق.
وتؤكد حملة CSuite أن مستقبل هجمات التصيد الإلكتروني يتجه نحو مزيد من التكامل بين سرقة الهوية الرقمية والسيطرة التشغيلية على الأجهزة، الأمر الذي يفرض على المؤسسات تطوير إستراتيجيات دفاعية تتعامل مع الحسابات والأجهزة باعتبارهما جبهة أمنية واحدة لا يمكن الفصل بينهما.
