تقلّب با پوشش پشتیبانی IT: تبدیل یک جلسهٔ راه‌دور به دسترسی سراسری سازمان
بر اساس پست Microsoft Security Blog، تیم‌های تهدید انسان‌محور از قابلیت همکاری خارجی Microsoft Teams برای جعل هویت پشتیبانی فنی استفاده کرده، دسترسی راه‌دور کسب و یک ایمپلنت مبتنی بر Node.js مستقر کرده‌اند. مقالهٔ زیر خلاصه‌ای از شواهد گزارش‌شده و نکات تحلیلی مستقل است.
اطلاعات این مطلب براساس پست «Impersonating IT support: how threat actors turn a remote session into enterprise-wide access» در Microsoft Security Blog است. مایکروسافت Threat Intelligence یک کمپین نفوذ انسان‌محور را رصد کرده که از قابلیت «external collaboration» در Microsoft Teams سوءاستفاده می‌کند. بازیگران تهدید با جعل هویت پشتیبانی IT کاربران را فریب داده، جلسات راه‌دور را برقرار می‌کنند، از این مسیر دسترسی گرفته و یک ایمپلنت مبتنی بر Node.js مستقر می‌سازند. سپس با استفاده از ابزارها و امکانات مشروع محیط (living-off-the-land) به حرکت جانبی پرداخته و دامنهٔ دسترسی در سازمان را گسترش می‌دهند. گزارش همچنین اشاره می‌کند که Microsoft Defender می‌تواند در تشخیص و اخلال در این فعالیت‌ها نقش داشته باشد.
خلاصهٔ تحلیلی مستقل (بر پایهٔ اطلاعات گزارش‌شده):
- ماهیت تهدید: این حملات «انسان‌محور» و متکی به مهندسی اجتماعی هستند؛ یعنی نفوذگران با تعامل مستقیم و فریب کاربران اقدام می‌کنند تا مجوزهای لازم برای اجرای کد یا دسترسی از راه دور را به دست آورند.
- بردار اصلی: استفاده از قابلیت همکاری خارجی در پلتفرم‌های ارتباطی (در این گزارش مشخصاً Microsoft Teams) که امکان برقراری جلسات با کاربران یا حساب‌های خارج از سازمان را فراهم می‌کند.
- خطر کلیدی: نفوذگران از کانال‌های مجاز و ابزارهای مشروع برای پنهان‌سازی فعالیت خود و حرکت جانبی استفاده می‌کنند، که تشخیص را دشوارتر می‌سازد.
توصیه‌های عملی (پیشنهادات محافظتی مستقل):
- آموزش و هشداردهی کاربران دربارهٔ تماس‌ها و درخواست‌های پشتیبانی در شبکه‌های اجتماعی و ابزارهای همکاری؛ رویهٔ تأیید هویت چندمرحله‌ای برای تماس‌های پشتیبانی را تعریف کنید.
- سیاست‌های محدودکننده برای همکاری خارجی در Teams: دسترسی و اشتراک‌گذاری خارجی را محدود یا به دامنه‌های قابل اعتماد محدود کنید و تنظیمات پیش‌فرض را بازبینی نمایید.
- اصل کمترین امتیاز: دسترسی‌ها و امتیازات حساب‌ها را محدود کنید تا حتی در صورت به‌دست‌آمدن دسترسی اولیه، امکان گسترش سریع حمله کاهش یابد.
- پایش و لاگینگ جلسات همکاری: رفتار ناهنجار در جلسات، نصب نرم‌افزار، یا اجرای اسکریپت‌ها را پایش کنید و لاگ‌ها را در محل متمرکز نگهداری و تحلیل نمایید.
- دفاع لایه‌ای و EDR: ابزارهای تشخیص و پاسخ (از جمله Microsoft Defender در صورت موجود بودن) را برای شناسایی رفتارهای مشکوک و توقف سریع حرکت جانبی فعال کنید.
- جداسازی شبکه و بخش‌بندی (network segmentation) تا دسترسی مهاجم محدود بماند و گسترش افقی دشوارتر شود.
محدودیت‌ها: این بازنویسی مبتنی بر خلاصه‌ای است که از Microsoft Security Blog ارائه شده و جزئیات فنی عمیق‌تر (مانند شاخص‌های آسیب‌پذیری یا نمونه‌های عددی) در متن ورودی ارائه نشده است؛ از حدس‌زنی دربارهٔ جزئیات صرف‌نظر شده است.