كشفت شركة ANY.RUN عن تفاصيل حملة تصيد إلكتروني تحمل اسم Skyw4lker، استهدفت بشكل رئيسي مؤسسات في قطاعات التصنيع والتكنولوجيا والرعاية الصحية داخل الولايات المتحدة، مستغلة تدفقات المصادقة الخاصة بمنصة Microsoft 365 إلى جانب بنية تحتية مستضافة عبر خدمات Google Sites، من أجل السيطرة على الحسابات الرقمية للضحايا دون الحاجة إلى الحصول مباشرة على بيانات اعتمادهم.
التصيد عبر رموز الأجهزة يغير قواعد اللعبة
تأتي حملة Skyw4lker في وقت تشهد فيه الولايات المتحدة مستويات مرتفعة من جرائم التصيد الإلكتروني. فالمهاجمون أصبحوا أكثر قدرة على تجاوز طبقات الحماية التقليدية، بما في ذلك المصادقة متعددة العوامل (MFA)، من خلال استغلال إجراءات تسجيل الدخول الشرعية نفسها.
ويعتمد هذا النوع من الهجمات على ما يعرف باسم Device Code Phishing أو التصيد باستخدام رموز الأجهزة. وبدلاً من إنشاء صفحة تسجيل دخول مزيفة لسرقة بيانات المستخدم، يقوم المهاجم ببدء عملية مصادقة شرعية خاصة بخدمة سحابية حقيقية، ثم يقنع الضحية بإكمالها لصالحه دون أن يدرك ذلك.
وبمجرد اكتمال العملية، يحصل المهاجم على رموز الوصول (Tokens) التي تخوله الوصول إلى الموارد والخدمات المرتبطة بالحساب المستهدف.
وتكمن خطورة هذا الأسلوب في أن عملية المصادقة نفسها تكون صحيحة وشرعية من الناحية التقنية، وهو ما يجعل سجلات الدخول تبدو طبيعية للوهلة الأولى، بينما يكون النشاط الإجرامي مختبئًا خلف سلسلة من التفاعلات المضللة.
عقود مزيفة تقود الضحايا إلى Microsoft 365
أظهرت التحليلات أن حملة Skyw4lker تبدأ عبر مستندات محمية بكلمات مرور يتم إرسالها إلى الضحايا على أنها عقود عمل أو عروض خدمات أو مستندات متعلقة بالمشتريات والتعاقدات.
وتبدو هذه الرسائل مقنعة بصورة كبيرة داخل المؤسسات التي تتعامل بشكل يومي مع الموردين والشركاء التجاريين، حيث اعتاد الموظفون استقبال هذا النوع من الملفات والوثائق.
بعد فتح المستند، يُوجَّه الضحية إلى صفحات مستضافة على خدمة Google Sites، وهي خدمة شرعية وموثوقة يصعب حظرها بشكل كامل داخل المؤسسات.
ومن هناك ينتقل المستخدم تدريجيًا إلى مسار مصادقة مرتبط بخدمات Microsoft 365، حيث يُطلب منه إكمال خطوات تبدو طبيعية ومألوفة.
وفي هذه المرحلة لا يحتاج المهاجم إلى استنساخ واجهات Microsoft أو تزويرها، لأن المستخدم يتعامل فعليًا مع صفحات شرعية، إلا أن طلب المصادقة يكون قد أُنشئ مسبقًا من جانب المهاجم، ما يؤدي في النهاية إلى نقل صلاحيات الوصول إليه.
بنية تحتية متطورة وآليات إخفاء متقدمة
لم تقتصر الحملة على استخدام صفحات تصيد بسيطة، بل تضمنت بنية تشغيلية متكاملة صممت لمتابعة الضحايا وإدارة عملية الاختراق لحظة بلحظة.
وكشفت التحقيقات عن استخدام أكواد JavaScript مشوشة ومخفية إلى جانب مكونات خلفية مكتوبة بلغة PHP تعمل على إنشاء جلسات خاصة بكل ضحية.
كما قامت المنظومة بجمع معلومات مختلفة تتعلق بالمستخدمين، منها عناوين IP والموقع الجغرافي وبيانات الجلسة، مع تنفيذ اتصالات متكررة مع الخوادم الخلفية أثناء انتظار اكتمال عملية المصادقة.
ويؤكد الباحثون أن التحليل الثابت للملفات أو الروابط لا يكفي لفهم سلوك الحملة بالكامل، لأن النشاط الخبيث يظهر تدريجيًا عبر التفاعل بين المتصفح والسكربتات وعمليات التحويل والاتصالات الخلفية.
ولهذا السبب أصبحت أساليب التحليل السلوكي الديناميكي داخل بيئات معزولة عنصرًا أساسيًا لفهم حملات التصيد الحديثة واكتشاف المؤشرات الحقيقية التي تكشف نشاطها.
أهمية المعلومات الاستخباراتية في كشف الحملة
تشير شركة ANY.RUN إلى أن التحقيق في حملات مثل Skyw4lker لا ينتهي بمجرد اكتشاف الرسالة أو الرابط الأولي، بل يتطلب جمع مؤشرات الاختراق (IOCs) وربطها بالسياق الكامل للهجوم.
وتشمل هذه المؤشرات عناوين URL والنطاقات وعناوين IP المستخدمة والبنية التحتية المرتبطة بالمهاجمين، إضافة إلى السلوكيات التي تظهر خلال جلسات التصفح وعمليات المصادقة.
وتساعد هذه البيانات فرق مراكز العمليات الأمنية SOC ومزودي الخدمات الأمنية المدارة MSSP على توسيع نطاق الحماية واكتشاف أنشطة مشابهة داخل مؤسسات أخرى قبل تحولها إلى حوادث اختراق واسعة النطاق.
كما تسمح منصات استخبارات التهديدات بربط مؤشرات الاختراق بحملات أكبر وتحليل العلاقات بين البنى التحتية والأدوات المستخدمة من قبل الجهات المهاجمة، الأمر الذي يمنح المدافعين رؤية أكثر شمولًا للمشهد التهديدي.
تحديات جديدة أمام فرق الأمن السيبراني
تكشف حملة Skyw4lker عن تحول مهم في تكتيكات التصيد الإلكتروني، حيث لم يعد التركيز منصبًا على خداع المستخدم للحصول على كلمة مروره، بل على إقناعه بإضفاء الشرعية بنفسه على عملية وصول بدأها المهاجم.
وهذا النوع من الهجمات يجعل الحدود الفاصلة بين النشاط المشروع والنشاط الخبيث أكثر ضبابية، خصوصًا عندما تعتمد الحملات على خدمات موثوقة وشائعة الاستخدام مثل Google وMicrosoft.
كما يؤكد الحادث أن حماية الهوية الرقمية لم تعد تقتصر على تفعيل المصادقة متعددة العوامل أو مراقبة محاولات تسجيل الدخول الفاشلة، بل تتطلب فهمًا أعمق لسياق عمليات المصادقة نفسها وتحليل الأنشطة المحيطة بها بشكل مستمر.
وفي ظل تزايد الاعتماد على الخدمات السحابية والتطبيقات المؤسسية المتصلة بالهوية الرقمية، يبدو أن هجمات Device Code Phishing ستظل واحدة من أكثر التهديدات قدرة على تجاوز الدفاعات التقليدية خلال السنوات المقبلة، خاصة مع اعتمادها على آليات عمل مشروعة يصعب تمييزها عن الاستخدام الطبيعي للخدمات.
