پژوهشگران امنیت سایبری جزئیات یک کمپین فعال از سوی گروه TeamFiltration با نام رمز UNK_CondorFiltration را فاش کردند که بیش از ۵,۷۰۰ حساب کاربری در ۲۸ Tenant مختلف Microsoft 365 را هدف قرار داده است.
جزئیات عملیات و اهداف
بر اساس گزارش‌های منتشر شده، این فعالیت‌ها عمدتاً بر مؤسسات خرده‌فروشی و مالی در شیلی متمرکز بوده و از ۱۴۸۷ آدرس IP منبع منحصر‌به‌فرد در سرویس AWS EC2 مدیریت شده است. در این عملیات، ۷ حساب کاربری مورد نفوذ قرار گرفته‌اند که همگی حساب‌های کاربردی (Functional) یا سرویس (Service) بدون مدیریت بوده‌اند و نه حساب‌های شخصی کارکنان.
شکاف امنیتی در هویت‌های غیرانسانی
این حمله نشان‌دهنده یک شکاف امنیتی بحرانی در زمینه هویت‌های غیرانسانی (Non-human identities) است؛ حساب‌هایی که فراموش شده‌اند، رمزهای عبور پیش‌فرض یا تغییرنیافته دارند و فاقد احراز هویت چندعاملی (MFA) هستند. این کمپین در سه موج مختلف از اواخر جولای تا آگوست ۲۰۲۶ رخ داده است.
روش حمله و ابزار مورد استفاده
- Password Spraying: عامل تهدید احتمالاً از تکنیک Password Spraying با استفاده از رمزهای عبور پیش‌فرمی که توسط تیم‌های IT تعریف شده و هرگز تغییر نکرده بودند، استفاده کرده است.
- سرعت نفوذ: شش مورد از هفت حساب compromised شده، در کمتر از ۷ دقیقه مورد نفوذ قرار گرفتند که نشان‌دهنده استفاده از رمزهای عبور مشترک یا پیش‌فرض است.
- چارچوب TeamFiltration: در این حملات از ابزار TeamFiltration استفاده شده است؛ یک فریم‌ورک تهاجمی Cross-platform که برای شناسایی (Enumerating)، اسپری کردن رمزها، استخراج داده‌ها (Exfiltration) و ایجاد Backdoor در حساب‌های Entra ID طراحی شده است.
تحلیل پس از نفوذ (Post-Exploitation)
عامل تهدید پس از دسترسی، از حساب‌های قربانی برای ورود به Microsoft Office، OneDrive و Teams استفاده کرده است. همچنین مشاهده شده که مهاجم در کمتر از ۲ دقیقه پس از نفوذ، از طریق یک گره VPN در آلمان، اقدام به بررسی VPN سازمانی، دسترسی به Azure Portal، مرور SharePoint Online و ارسال درخواست‌های Token برای Microsoft Graph API نموده است.
نتیجه‌گیری فنی
این حادثه یادآور این نکته است که یکی از ضعیف‌ترین حلقه‌های زنجیره امنیت هویت در سازمان‌ها، لزوماً یک کارمند فریب‌خورده یا یک آسیب‌پذیری زیرو دِی (Zero-Day) نیست، بلکه حساب‌های سرویس فراموش‌شده‌ای هستند که برای راحتی ایجاد شده اما هرگز بازبینی یا ایمن‌سازی نشده‌اند.
