مهاجمان با استفاده از یک تقویم جعلی برای برنامه‌ریزی جلسات در Microsoft Teams، کارمندان شرکت‌ها را فریب می‌دهند تا کدهای تایید ورود (Device Code) را در صفحات رسمی مایکروسافت وارد کنند. این روش که با نام Device Code Phishing شناخته می‌شود، به مهاجم اجازه می‌دهد تا پیش از شناسایی توسط تیم‌های امنیتی، توکن‌های نشست (Session Token) معتبری را از حساب‌های قربانی به دست آورد.
مکانیسم حمله: سوءاستفاده از جریان ورود مایکروسافت
در این نوع حمله، مهاجم یک درخواست ورود (Sign-in) آغاز کرده و یک کد کوتاه دریافت می‌کند. سپس قربانی را متقاعد می‌کند تا آن کد را در صفحه واقعی ورود دستگاه‌های مایکروسافت وارد کند. با وارد کردن کد و تکمیل احراز هویت چندعاملی (MFA) توسط کاربر، در واقع نشست (Session) مهاجم تایید می‌شود و او دسترسی کامل به توکن‌های حساب کاربری قربانی را پیدا می‌کند.
استراتژی فریب و دور زدن سیستم‌های امنیتی
در این مورد خاص، ایمیل‌ها از دامنه‌هایی با نام‌های مشابه (Typosquatted) ارسال شده‌اند که مدیران ارشد شرکت‌های دیگر را جعل می‌کردند. لینک‌های موجود در ایمیل به یک لینک اشتراک‌گذاری گوگل (Google Share Link) هدایت می‌شدند که در نهایت کاربر را به صفحه جعلی هدایت می‌کرد. این روش باعث می‌شود پیام از فیلترهای بررسی اعتبار URL (URL Reputation) عبور کند.
صفحه جعلی، ظاهری کاملاً مشابه با ابزار برنامه‌ریزی جلسات Teams داشت و با استفاده از تصاویر مدیران و وعده همکاری‌های تجاری، اعتماد کاربر را جلب می‌کرد. پس از کلیک بر روی گزینه ادامه، یک کد در صفحه نمایش داده می‌شد که تحت عنوان “Booking Reference” معرفی می‌گشت و یک تایمر معکوس نیز برای ایجاد فوریت (Urgency) در کاربر قرار داده شده بود.
علاوه بر این، برای دور زدن اسکنرهای ایمیل و خزنده (Crawler)هایی که جاوااسکریپت اجرا نمی‌کنند، کل کیت فیشینگ با استفاده از الگوریتم AES-256-GCM رمزنگاری شده بود. همچنین مهاجمان از پروکسی‌های مسکونی (Residential Proxy) استفاده می‌کردند تا ترافیک خود را مشابه کاربران عادی نشان دهند و از شناسایی شدن توسط سیستم‌های امنیتی جلوگیری کنند.
توصیه‌های امنیتی برای مدیران SOC و CISO
- محدودسازی دسترسی: در سازمان‌هایی که نیازی به احراز هویت از طریق Device Code ندارند، این قابلیت را از طریق سیاست‌های دسترسی مشروط (Conditional Access) محدود یا مانیتور کنید.
- استفاده از MFA مقاوم در برابر فیشینگ: پیاده‌سازی روش‌های احراز هویت چندعاملی مقاوم در برابر فیشینگ (Phishing-resistant MFA) الزامی است.
- مانیتورینگ لاگ‌ها: بررسی دقیق لاگ‌های ورود؛ اگر User Agentهای برنامه‌نویسی مانند python-requests یا node در لاگ‌های ورود تعاملی مشاهده شدند، نشان‌دهنده فعالیت زیرساخت‌های خودکار مهاجمان است.
- بررسی پس از نفوذ: در صورت تأیید نفوذ، حتماً متدهای MFA جدید، دستگاه‌های ثبت‌شده ناشناس، موافقت‌های اپلیکیشن (App Consents) و قوانین مشکوک در صندوق پستی (Mailbox Rules) را بررسی کنید.
