تعتبر حملة Mirage2FA واحدة من أكثر الحملات تهديدًا في مجال الأمن السيبراني، حيث تستهدف حسابات Microsoft 365 بشكل متزايد من خلال أساليب متطورة.
ارتفاع حملة Mirage2FA يؤثر على 4500 شركة في الولايات المتحدة والاتحاد الأوروبي
تأثرت آلاف الشركات بحملة Mirage2FA من 2024 إلى 2026. تستهدف مجموعة أدوات التصيد التجاري هذه حسابات Microsoft 365 من خلال استغلال تدفقات تسجيل الدخول الشرعية وتجاوز المصادقة الثنائية.
وفقًا لأبحاث ANY.RUN، تم اختراق 48% من عناوين البريد الإلكتروني المستهدفة. معظم الشركات المتأثرة تتواجد في الولايات المتحدة.
نطاق وتأثير حملة Mirage2FA
من خلال سرقة كلمات المرور وملفات تعريف الارتباط، يمكن للمهاجمين الوصول إلى جلسات Microsoft 365 المصادق عليها والخدمات المتصلة بـ SSO. هذا يخلق مخاطر كبيرة تتعلق بالهوية للشركات، مما قد يعرض البريد الإلكتروني المؤسسي والحسابات التجارية الموثوقة وبيانات حساسة أخرى.
بمجرد اختراق جلسة Microsoft 365 المصادق عليها، يتم إنشاء مسار للتظاهر والاحتيال والمزيد من الاختراق.
تتضمن النقاط الرئيسية حول Mirage2FA من ANY.RUN:
- تمتلك الحملة نطاقًا جغرافيًا واسعًا وامتدادًا مؤسسيًا. بالإضافة إلى أن الولايات المتحدة تمثل 63.7% من إجمالي الضحايا، تم رصد نشاط Mirage2FA أيضًا في الهند وسنغافورة والمملكة المتحدة وكندا والسعودية وجنوب إفريقيا ودول أخرى.
- بشكل عام، يرتبط نشاط Mirage2FA بـ 4532 نطاق بريد إلكتروني فريد للمنظمات. كانت التكنولوجيا والتصنيع والتعليم من بين أكثر الصناعات المستهدفة.
- جزء كبير من المخاطر التي تواجه الشركات المتأثرة يأتي من سرقة الجلسات. كشفت أبحاث ANY.RUN عن أكثر من 9000 حدث محتمل للاختراق يتعلق بسرقة ملفات تعريف الارتباط وكلمات المرور، وتسجيل الدخول عبر SSO، وتجاوز المصادقة الثنائية.
تظهر نتائج أبحاث ANY.RUN كيف يمكن لهجمات AiTM استغلال الفجوات في المصادقة وإدارة الجلسات حتى عندما تكون المصادقة الثنائية موجودة.
يمكن أن يمتد التأثير أيضًا إلى ما هو أبعد من الحساب المخترق في البداية. يمكن أن تزيد الوصولات اللاحقة، وتطبيقات SSO المتصلة، وغيرها من سير العمل الداخلية من نطاق الهجوم، مما يزيد من تكاليف الاحتواء.
عامل آخر مكلف هو أن التأثير يتجاوز سرقة كلمات المرور، حيث يحصل المهاجمون على وصول إلى البيئة المؤسسية أو خدمات Microsoft 365 من خلال جلسات المستخدم المخترقة، مما يجعل من الصعب اتخاذ تدابير سريعة.
كيفية تقليل مخاطر Mirage2FA في شركتك
يمكن للمنظمات تقليل التعرض من خلال تعزيز المصادقة، واكتشاف سلوك الحملة، ومعاملة سرقة الجلسات كحادثة هوية.
اكتشاف الهجمات مبكرًا من خلال تحليل أعمق
يساعد دمج sandboxing بسلاسة في سير العمل الحالي فرق SOC على التحقيق بأمان في المحتوى المشبوه وتحديد سلوك التصيد قبل أن يؤدي إلى اختراق الحساب.
نصيحة للأمان المؤسسي
- تحليل المرفقات والروابط المشبوهة في عزلة.
- يكشف Interactive Sandbox عن عمليات إعادة التوجيه، والبرامج النصية، ونشاط WebSocket، وصفحات تسجيل دخول Microsoft 365 المزيفة.
- تجاوز المصادقة التقليدية. استخدم المصادقة المقاومة للتصيد والتحكمات الأقوى للجلسات.
- يساعد تحليل sandbox في تحديد الهجمات المصممة لتجاوز ضوابط المصادقة التقليدية.
تساعد هذه التدابير فرق الأمان في اكتشاف نشاط Mirage2FA مبكرًا، والتحقيق في نطاقه الأوسع، وتقليل تأثير سرقة الجلسات.
قلل من تكلفة اختراق الحساب من خلال الاكتشاف المبكر باستخدام ANY.RUN.
اكتشف التهديدات في 14 ثانية وقلل MTTR بمقدار 21 دقيقة لكل حالة.
دمج ANY.RUN في SOC الخاص بك
كشف البنية التحتية وراء الحملات
يجب التحقيق في نشاط Mirage2FA بما يتجاوز مؤشرات الاختراق الفردية. يمكن أن تساعد المحملات المتكررة، والبيانات المشفرة، ونشاط WebSocket المشبوه، والبنية التحتية ذات الصلة في كشف الروابط بحملة أوسع.
يجب أن تُعامل سرقة الجلسات كحادثة هوية. يجب على الفرق إلغاء جلسات الرموز المخترقة والتحقيق في النشاط المرتبط بالهوية المتأثرة بدلاً من الاعتماد على إعادة تعيين كلمة المرور فقط.
يوفر دمج تغذيات معلومات التهديد في الوقت الحقيقي مؤشرات ضارة جديدة تكمل الاكتشافات السلوكية مع تغير بنية المهاجمين. يمكن للمحللين بعد ذلك استخدام بحث معلومات التهديد للانتقال من الروابط، والنطاقات، وعناوين IP، والملفات المشبوهة إلى البنية التحتية والنشاط ذي الصلة.
حوّل مؤشرات الاختراق المعزولة إلى معلومات قابلة للتنفيذ مدعومة ببيانات التهديد من أكثر من 16000 منظمة.
استكشف ANY.RUN
الخاتمة
تظهر Mirage2FA كيف تطورت عمليات التصيد إلى ما هو أبعد من سرقة بيانات الاعتماد. من خلال اختراق جلسات Microsoft 365، يمكن للمهاجمين تجاوز المصادقة التقليدية والوصول من خلال هويات المستخدمين الموثوقين.
مع تأثر آلاف المنظمات، وخاصة في الولايات المتحدة، تحتاج الشركات إلى إعطاء الأولوية للمصادقة المقاومة للتصيد، والاكتشاف السلوكي، وإجراءات الاستجابة المصممة لسرقة الجلسات.
للحفاظ على أمان مؤسستك، يجب أن تتبنى استراتيجيات متقدمة لمكافحة التصيد وتحسين إجراءات الاستجابة للحوادث.
