گزارش تحلیل تهدیدات نیمه اول سال ۲۰۲۶ نشان می‌دهد که عامل‌های تهدید (Threat Actors) به جای تکیه صرف بر آسیب‌پذیری‌های نرم‌افزاری، به طور فزاینده‌ای از ابزارهای تجاری معتبر برای دسترسی به سازمان‌ها، سرقت اعتبارنامه‌ها و انتشار بدافزار استفاده می‌کنند.
فیشینگ از طریق Microsoft Teams
مهاجمان با جعل هویت کارکنان بخش پشتیبانی IT در محیط Microsoft Teams، سعی در فریب کارکنان سازمان‌های هدف دارند. در این متد، مهاجم از خارج از سازمان با کاربر ارتباط برقرار کرده و خود را به عنوان همکار یا کارشناس Help-desk معرفی می‌کند تا کاربر را به انجام اقداماتی ترغیب کند که منجر به دسترسی مهاجم به سیستم شود. بررسی‌ها نشان می‌دهد که حدود ۳۰ درصد از سازمان‌های تحت نظارت، حداقل یک مورد از این نوع ارتباطات مشکوک را تجربه کرده‌اند.
کرم Shai-Hulud و تهدید زنجیره تأمین
یکی از یافته‌های کلیدی این گزارش، شناسایی یک کرم در مخزن npm به نام Shai-Hulud است که اعتبارنامه‌های توسعه‌دهندگان را هدف قرار می‌دهد تا از طریق زنجیره تأمین (Supply Chain) گسترش یابد. این بدافزار در هنگام نصب بسته اجرا شده، محیط اجرای JavaScript Bun را دانلود کرده و با استفاده از ابزار TruffleHog به دنبال Secrets افشا شده می‌گردد. این کرم می‌تواند از توکن‌های npm سرقت شده برای انتشار بسته‌های آلوده استفاده کرده و اعتبارنامه‌ها را در مخازن عمومی GitHub منتشر کند.
سرقت دسترسی از طریق Device-code Phishing
مهاجمان از متد فیشینگ Device-code برای دور زدن مکانیزم‌های احراز هویت استفاده می‌کنند. در این حملات، قربانیان کدهای احراز هویت را در جریان ورود قانونی مایکروسافت وارد می‌کنند که این امر به مهاجم اجازه می‌دهد Refresh Tokens را به دست آورد. سپس با بازپخش (Replay) این توکن‌ها و ثبت دستگاه‌های غیرمجاز، دسترسی خود را در شبکه سازمان تثبیت می‌کنند. نکته قابل توجه این است که در برخی موارد، این فعالیت‌ها هیچ هشدار پیش‌فرضی را در Microsoft Sentinel ایجاد نکردند.
تاکتیک‌های ClickFix و استفاده از بلاک‌چین
تحلیل‌های مربوط به متد ClickFix نشان می‌دهد که تعداد زیادی از دامنه‌های توزیع، کاربران را به تعداد محدودی از سرورهای بدافزار هدایت می‌کنند. همچنین، حدود ۲۵.۳ درصد از موارد شناسایی شده از تکنیک EtherHiding استفاده کرده‌اند تا پی‌لودها (Payloads) را از طریق زیرساخت‌های بلاک‌چین بازیابی کنند، که این امر شناسایی و مسدود کردن آن‌ها را دشوارتر می‌کند.
توصیه‌های امنیتی برای مدیران SOC و CISOها
کارشناسان تأکید می‌کنند که سازمان‌ها باید از تکیه بر اعتماد ضمنی به ابزارهای همکاری و احراز هویت دست بردارند. توصیه‌های اصلی عبارتند از:
- پیاده‌سازی مدل Zero Trust: اعتبارسنجی هر نشست (Session) و نظارت دقیق بر مسیرهای دسترسی، حتی در ابزارهای مورد اعتماد.
- تقویت احراز هویت: استفاده از احراز هویت مبتنی بر گواهینامه (Certificate-based Authentication) و تأیید هویت تصویری برای درخواست‌های حساس پشتیبانی IT.
- نظارت بر دستگاه‌های موبایل: ترکیب پلتفرم‌های مدیریت هویت با سیستم‌های تشخیص تهدید روی دستگاه (Mobile Threat Detection) برای جلوگیری از سرقت Sessionها.
