حملات اخیر به سازمان‌هایی در شیلی نشان می‌دهد که حتی در صورت ایمن‌سازی حساب‌های کاربری کارکنان، حساب‌های خدماتی (Service Accounts) رها شده و فراموش‌شده می‌توانند کل محیط Microsoft 365 (M365) یک سازمان را به خطر بیندازند.
نقش حساب‌های غیرانسانی در نفوذ
در محیط‌های M365، علاوه بر حساب‌های کاربران انسانی، هویت‌های کاربردی مشترک و حساب‌های مربوط به اپلیکیشن‌ها و فرآیندهای خودکار وجود دارند. مشکل اینجاست که برخلاف حساب‌های شخصی، نظارت بر امنیت این حساب‌های غیرانسانی اغلب نادیده گرفته می‌شود. این موضوع منجر به ایجاد حساب‌هایی با دسترسی‌های بیش از حد (Excessive Permissions) و اعتبارنامه‌های پیش‌فرض می‌شود که در نهایت به «آثار فراموش‌شده» تبدیل شده و برای مهاجمان به عنوان نقطه ورود عمل می‌کنند.
تحلیل تاکتیک‌های عامل تهدید UNK_CondorFiltration
پژوهشگران امنیتی یک عامل تهدید جدید را شناسایی کرده‌اند که با استفاده از ابزارهای متن‌باز (OSS) و تکنیک Credential Spraying، تلاش کرده است به محیط‌های M365 سازمان‌های شیلی نفوذ کند. نکته قابل توجه این است که این مهاجم نتوانست هیچ‌یک از حساب‌های کارکنان را به دست آورد، اما با شناسایی حساب‌های خدماتی، موفق به دسترسی به داده‌های حساس شد.
این عامل تهدید از ابزار TeamFiltration استفاده می‌کند؛ یک کیت جامع برای هک M365 که قابلیت‌های زیر را ارائه می‌دهد:
- شناسایی (Enumeration) حساب‌های موجود در یک Tenant.
- حملات Brute Force با تغییر مداوم زیرساخت برای دور زدن محدودیت‌های IP.
- استخراج گسترده داده‌ها (Data Exfiltration) و ایجاد Backdoor در اپلیکیشن‌های متصل به مایکروسافت.
جزئیات عملیات و اثرات
در یکی از حملات موفق، مهاجم توانست هفت حساب شرکتی یک خرده‌فروش بزرگ در شیلی را به دست آورد. بررسی‌ها نشان داد که هیچ‌کدام از این حساب‌ها تاریخچه فعالیت کاربر نداشتند و صرفاً برای عملکردهایی مانند مدیریت تیکت‌ها یا تایید پرداخت‌های تامین‌کنندگان ایجاد شده و سپس فراموش شده بودند. به دلیل نبود احراز هویت چندعاملی (MFA)، مهاجم توانست ۶ حساب را تنها در ۷ دقیقه تسخیر کند.
پس از دسترسی اولیه، مهاجم با استفاده از قابلیت‌های خودکار TeamFiltration، ایمیل‌ها، گفتگوهای Teams و فایل‌های OneDrive را استخراج کرد. در برخی موارد، نفوذ به سطح بالاتری رسید و توانست به پورتال مدیریت M365، پورتال Azure و فایل‌های SharePoint دسترسی پیدا کند.
راهکارهای پیشگیرانه برای مدیران SOC و CISO
برای جلوگیری از تبدیل شدن حساب‌های غیرانسانی به یک نقطه ضعف امنیتی، توصیه‌های زیر ارائه می‌شود:
- پیوند به کاربر انسانی: هر حساب ابری، حتی اگر توابع خودکار را اجرا می‌کند، باید به یک کارمند مسئول متصل باشد تا پاسخگویی (Accountability) حفظ شود.
- تعیین تاریخ انقضا: برای حساب‌های موقت یا خدماتی، تاریخ انقضا تعیین کنید تا از بقای آن‌ها در محیط پس از اتمام کاربرد جلوگیری شود.
- شکار حساب‌های غیرمتعارف: مدیران سیستم باید با استفاده از اسکریپت‌ها، نام‌های کاربری را که با استانداردهای نام‌گذاری سازمان (Naming Convention) مطابقت ندارند، شناسایی و بررسی کنند.
