حملات سایبری مشاهده شده در سپتامبر ۲۰۲۶ نشان می‌دهد که تفکیک فعالیت‌های مخرب از جریان‌های کاری قانونی کسب‌وکارها به شدت دشوار شده است. عوامل تهدید (Threat Actors) برای پنهان کردن مراحل عملیاتی خود از سرویس‌های ابری مورد اعتماد، پلتفرم‌های اشتراک‌گذاری اسناد، جریان‌های احراز هویت قانونی و نرم‌افزارهای مدیریت از راه دور استفاده کرده‌اند.
چالش‌های شناسایی برای تیم‌های SOC
استفاده از زیرساخت‌های متغیر و ابزارهای قانونی باعث ایجاد مشکل در دید (Visibility) تیم‌های SOC شده است؛ به گونه‌ای که یک هشدار (Alert) به تنهایی به‌ندرت می‌تواند تصویر کاملی از حمله را ارائه دهد. این موضوع ریسک سرقت هویت، دسترسی به نقاط انتهایی (Endpoints) و کلاهبرداری‌های مالی را پیش از درک دامنه واقعی حادثه افزایش می‌دهد.
بررسی کمپین‌های فعال
۱. عملیات CSuite: سرقت Session و سوءاستفاده از RMM
کمپین CSuite یک عملیات فیشینگ چندمرحله‌ای است که سرقت Sessionهای Microsoft 365 را با دسترسی از راه دور از طریق ابزارهای مدیریت قانونی ترکیب می‌کند. این حمله با جعل سرویس‌هایی مانند Adobe، DocuSign و Zoom آغاز شده و قربانیان را به صفحات جعلی هدایت می‌کند تا اطلاعات اعتبار (Credentials) یا Sessionهای احراز شده را سرقت کند. در برخی موارد، فایل‌هایی برای نصب ابزارهای RMM مانند ScreenConnect، Atera و Syncro ارسال می‌شود تا دسترسی مداوم به سیستم قربانی برقرار گردد.
۲. کمپین N0va: فیشینگ Device Code
گروه N0va با هدف قرار دادن کاربران Microsoft 365 در آمریکای شمالی و اروپا، از تکنیک Device Code Phishing استفاده می‌کند. این روش به مهاجمان اجازه می‌دهد تا از طریق جریان‌های احراز هویت قانونی مایکروسافت، توکن‌های دسترسی (Access Tokens) و توکن‌های نوسازی (Refresh Tokens) را به دست آورند و بدین ترتیب نیاز به داشتن رمز عبور سرقت شده را دور بزنند.
۳. پلتفرم IronToll: سرقت داده‌های کارت بانکی و OTP
پلتفرم IronToll یک سیستم فیشینگ گسترده در بیش از ۱۲ کشور است که سرویس‌های دولتی، پستی و بانکی را جعل می‌کند. این پلتفرم با استفاده از یک پنل اپراتور مبتنی بر WebSocket، به مهاجمان اجازه می‌دهد در لحظه (Real-time) نشست‌های قربانی را مشاهده کرده و داده‌های کارت‌های بانکی و رمزهای یک‌بار مصرف (OTP) را سرقت کنند.
۴. کیت Wazza: دور زدن شناسایی خودکار
کیت فیشینگ Wazza برای هدف قرار دادن سازمان‌های بانکی و دولتی، از سیستم‌های مسیریابی (Routing) و فیلترهای ضد-بات (Anti-bot) استفاده می‌کند. این جریان با بررسی تله‌متری مرورگر و استفاده از توکن‌های نشست کوتاه‌مدت، صفحه نهایی فیشینگ را تا زمانی که بازدیدکننده تمام بررسی‌های امنیتی را پاس نکند، پنهان نگه می‌دارد تا ابزارهای شناسایی خودکار را دور بزند.
۵. عملیات TerminalFix: اجرای Payloadهای مخفی
کمپین TerminalFix از سایت‌های وردپرس هک شده برای هدف قرار دادن کاربران استفاده می‌کند. این حمله از تکنیک‌های پیچیده‌ای برای پنهان‌سازی استفاده می‌کند، از جمله استفاده از JavaScript برای نمایش Payloadهای باینری به صورت توالی کلمات انگلیسی معمولی و استفاده از محیط اجرای Node.js برای رمزگشایی آن‌ها. در مراحل نهایی، کدها از طریق یک باینری امضا شده (Signed Binary) مایکروسافت اجرا می‌شوند.
توصیه‌های امنیتی برای مدیران ارشد
- مدیریت هویت: در صورت مشاهده احراز هویت‌های مشکوک از طریق Device Code، باید سریعاً تمامی Sessionهای فعال را ابطال (Revoke) و ثبت‌نام‌های دستگاه‌های جدید را بررسی کرد.
- پایش نقاط انتهایی: بررسی نصب غیرمنتظره عوامل مدیریت از راه دور (Management Agents) مانند ScreenConnect یا Atera در سیستم‌ها.
- تحلیل جریان مرورگر: تیم‌های امنیتی نباید تنها به بررسی URL اول اکتفا کنند و باید کل جریان تغییر مسیر (Redirect) مرورگر را برای شناسایی صفحات نهایی فیشینگ تحلیل کنند.
- همبسته‌سازی شواهد: برای درک کامل حملات مدرن، باید شواهد مربوط به هویت، مرورگر، Endpoint و شبکه را به صورت یکپارچه تحلیل کرد.
