أداة مايكروسوفت الموثوقة تتحول إلى حصان طروادة: داخل عملية سرقة حسابات ConsentFix السحابية
حملة تصيد احتيالي جديدة تستخدم أداة Azure CLI من مايكروسوفت نفسها، مما يسمح للقراصنة بالاستيلاء على الحسابات دون الحاجة لسرقة كلمات المرور.
بدأ الأمر كأي بحث عادي عن المساعدة عبر الإنترنت. لكن بالنسبة لعدد متزايد من حاملي حسابات مايكروسوفت، فتحت نقرة واحدة الباب أمام مهاجمين غير مرئيين-دون اختراق كلمة مرور، ودون تجاوز المصادقة متعددة العوامل، فقط خدعة ذكية في الثقة. كشف باحثو الأمن عن "ConsentFix"، وهي تقنية تصيد احتيالي تستغل الثقة العمياء التي تضعها المؤسسات في أدوات مايكروسوفت نفسها. النتيجة: يمكن للمهاجمين السيطرة على الحسابات السحابية، بينما بالكاد يلاحظ الضحايا أي شيء.
تحويل الثقة ضدك
حملة ConsentFix هي درس متقن في إساءة استخدام ما يُفترض أن يحمينا. سلاح المهاجمين المفضل: Azure CLI، وهو تطبيق من مايكروسوفت تعتمد عليه المؤسسات لإدارة السحابة. وبما أن Azure CLI أصلي وموثوق به عالميًا ضمن Entra ID من مايكروسوفت (المعروف سابقًا باسم Azure AD)، فإنه يتمتع بصلاحيات واسعة لا تحصل عليها سوى تطبيقات قليلة-مما يجعله كنزًا للقراصنة.
كيف تتم عملية السرقة
على عكس التصيد التقليدي، لا يقدم ConsentFix صفحات تسجيل دخول مزيفة في بريدك الوارد. بل يستغل بحث جوجل: يتعثر الضحايا على روابط تؤدي إلى مواقع موثوقة تم اختراقها. هناك، يقوم اختبار CAPTCHA مزيف من Cloudflare بتصفية الأهداف. إذا كنت ضمن قائمة المهاجمين، سيُطلب منك المصادقة باستخدام حساب مايكروسوفت الخاص بك.
وهنا تكمن الخدعة: بعد تسجيل دخول شرعي إلى مايكروسوفت (وأحيانًا دون تسجيل دخول إذا كنت بالفعل مسجلاً)، يتم تحويلك إلى عنوان URL محلي يحتوي على رمز تفويض OAuth. ثم تطلب منك صفحة الهجوم نسخ هذا الرمز ولصقه مرة أخرى في موقعهم-خطوة تبدو غير ضارة، لكنها في الواقع تمنح تطبيق Azure CLI الخاص بالمهاجم وصولاً كاملاً إلى حسابك في مايكروسوفت.
وبما أن Azure CLI أداة موثوقة، لا يمكن حظر هذا التفويض بسهولة. يرث المهاجمون صلاحيات واسعة، من قراءة الرسائل الإلكترونية إلى إدارة وظائف المشرف-دون الحاجة إلى كلمة مرورك أو تجاوز المصادقة متعددة العوامل.
تجنب المدافعين
تم تصميم ConsentFix ليكون خفيًا. تستخدم بنية التصيد التحتية حجبًا قائمًا على عناوين IP، واختبارات CAPTCHA مزيفة، وجافاسكريبت لا يتم تحميله إلا لأهداف محددة، مما يجعله شبه غير مرئي للباحثين الأمنيين وأدوات الفحص الآلي. حتى التحليل الجنائي صعب: العلامات الوحيدة هي أحداث تسجيل دخول غير معتادة في سجلات مايكروسوفت، تنشأ من عناوين IP مشبوهة وتصل إلى موارد حساسة مثل Azure Active Directory وIntune.
تم ربط نطاقات مثل trustpointassurance.com وfastwaycheck.com بالحملة، مع تتبع النشاط إلى الولايات المتحدة وإندونيسيا. تحث شركة Push Security، التي كشفت القصة، فرق تكنولوجيا المعلومات على مراقبة هذه المؤشرات وتوعية المستخدمين بمخاطر التلاعب بموافقات OAuth.
الخلاصة: عندما تكون الثقة أضعف حلقة
ConsentFix هو تذكير مخيف بأنه في عصر السحابة، قد لا تأتي أعظم التهديدات من الخارج-بل من الأدوات التي نثق بها أكثر. ومع ازدياد ذكاء المهاجمين، يجب أن تزداد يقظتنا: التشكيك في كل طلب موافقة، وفحص كل تطبيق "موثوق"، وتذكر أن الثقة في الأمن السيبراني دائماً مشروطة.
ويكيمحتال: مسرد المصطلحات
- OAuth
- معيار مفتوح لتفويض الوصول، يسمح للمستخدمين بمنح التطبيقات وصولاً محدودًا إلى حساباتهم دون مشاركة كلمات المرور.
- Azure CLI
- أداة سطر أوامر من مايكروسوفت لإدارة موارد السحابة على Azure، وتستخدم على نطاق واسع وتتمتع بثقة عالية في بيئات المؤسسات.
- المصادقة متعددة العوامل (MFA)
- عملية أمنية تتطلب من المستخدمين تقديم عاملين أو أكثر من عوامل التحقق للوصول إلى الحساب.
- التصيد الاحتيالي
- طريقة هجوم إلكتروني تخدع الأفراد للكشف عن معلومات حساسة من خلال التظاهر بكيان موثوق.
- CAPTCHA
- اختبار يُستخدم لتمييز المستخدمين البشر عن الروبوتات، غالبًا ما يُعرض كنص أو صور مشوهة ليتمكن المستخدم من تحديدها.
