یک کمپین گسترده از حملات Business Email Compromise (BEC) که محیط‌های Microsoft 365 را هدف قرار داده است، شناسایی شده است. این عملیات شامل صدها هزار تلاش برای دسترسی به شبکه‌های سازمانی در سراسر جهان بوده است.
این کمپین از روش‌هایی نظیر صفحات ورود جعلی (Fake Sign-in Pages)، فیشینگ کد دستگاه (Device-code Phishing)، سرقت توکن‌های نشست (Session Tokens) و مهندسی اجتماعی استفاده می‌کند. این اقدامات در واقع زمینه‌سازی برای حملات BEC هستند.
بررسی‌ها نشان می‌دهد که مهاجمان از حملات Adversary-in-the-Middle (AiTM) برای هدف قرار دادن محیط‌های سازمانی استفاده می‌کنند. این تکنیک به مهاجمان اجازه می‌دهد بدون نیاز به دانستن رمز عبور کاربر، حساب‌ها را به مخاطره بیندازند. آن‌ها با سرقت توکن‌های ورود (Login Tokens) که پس از احراز هویت موفق و عبور از MFA تولید می‌شوند، دسترسی خود را به دست می‌آورند. از آنجایی که این توکن‌ها پس از تایید هویت صادر می‌شوند، مهاجم با داشتن آن‌ها دیگر نیازی به عبور مجدد از MFA ندارد.
در این حملات “Token-spraying”، مهاجمان با استفاده از توکن‌های سرقت شده، تلاش‌های خودکار برای ورود به سرویس‌های Microsoft 365 را انجام می‌دهند. گزارش‌ها نشان‌دهنده حداقل ۲۰۰,۰۰۰ تلاش برای ورود است که شامل ۴۹۷ ورود موفق بوده است. در بسیاری از موارد، مهاجمان تنها چند دقیقه پس از سرقت توکن، در داخل محیط‌های هدف مستقر شده بودند.
مهاجمان برای تثبیت حضور خود (Persistence)، از روش‌های زیر استفاده کردند:
- تغییر تنظیمات MFA: پاک کردن تنظیمات MFA قربانی و اضافه کردن شماره تلفن یا اپلیکیشن خودشان برای حفظ دسترسی.
- قوانین مخفی ایمیل: ایجاد قوانین (Inbox Rules) برای انتقال پیام‌های حساس از دید کاربر.
- دستکاری Entra: تغییر تنظیمات Entra برای ثبت دستگاه‌های خود به عنوان دستگاه‌های معتبر در شبکه جهت درخواست توکن‌های بیشتر در آینده.
همچنین مشاهده شده است که مهاجمان از صندوق‌های پستی نفوذ شده برای ارسال ایمیل‌های فیشینگ مربوط به حقوق و دستمزد (Payroll) استفاده می‌کنند تا احتمال موفقیت حملات BEC را افزایش دهند.
برای کاهش ریسک، توصیه می‌شود سازمان‌ها از سیاست‌های دسترسی مشروط (Conditional Access Policies – CAP) به درستی استفاده کنند. همچنین در صورت مشکوک شدن به سرقت توکن، باید نشست‌ها (Sessions) را باطل کرده، رمز عبور را تغییر دهند، دستگاه‌ها و روش‌های MFA در Entra را بازرسی (Audit) کنند و قوانین صندوق پستی را برای شناسایی تغییرات غیرمجاز بررسی نمایند.
