هولوغرافي: برمجية خبيثة تخفي قنوات التحكم في أحداث Microsoft 365

برمجية هولوغرافي تخفي قنوات التحكم والملفات المسروقة في أحداث Microsoft 365 المؤرخة لعام 2050

تم اكتشاف برمجية تجسس جديدة تستخدم تقويم Microsoft 365 المخترق كقناة للتحكم، حيث تزرع تعليمات المشغل وتقوم بتهريب الملفات المسروقة كمرفقات في أحداث التقويم المؤرخة لعام 2050.

تقول مجموعة Group-IB، التي أطلقت على البرمجية اسم هولوغرافي، إن هذه الطريقة تنقل المهام والبيانات المسروقة عبر حركة مرور API الخاصة بـ Microsoft Graph الشرعية، مما يجعل النشاط يبدو كدردشة عادية على Microsoft 365، ولا توجد أي ضوابط شبكة تشير إلى وجهات تابعة للمهاجم.

البرمجية عبارة عن ملف DLL مكتوب بلغة .NET يدعم فقط أمرين: الحصول والإرسال، ولا تتصل أبداً بخادم مملوك للمهاجم للحصول على الحمولة. بدلاً من ذلك، تعالج تقويم البريد الإلكتروني المخترق كمنطقة تخزين ثنائية الاتجاه.

للحصول على المهام، تستعلم عن حدث قام المشغل بزرعه، مدفون في 13 مايو 2050، لذا فمن غير المحتمل أن يقوم مالك البريد الإلكتروني بالتمرير إليه، وتقرأ التعليمات من ملف مرفق. ولتهريب البيانات، تقوم بالعكس: تشفر الملف المسروق، وتنشئ حدثًا بعيد المستقبل، وتحمل البيانات كمرفقات.

كل ما يتحرك عبر التقويم مغلف بتشفير هجين RSA وAES-256، مع أزواج مفاتيح منفصلة للمهام الواردة والبيانات الصادرة.

قناة ثانية، أقل دقة، تحافظ على وصول Graph. عبر DNS، تقوم هولوغرافي بتحديث تفاصيل تسجيل الدخول لـ Entra ID (Azure AD) للتطبيق: معرف المستأجر، معرف العميل، السر العميل، وصندوق البريد المستهدف. تقوم بفك تشفير تلك القيم من سجلات IPv6 AAAA المرسلة من نطاق مهاجم، cloudlanecdn[.]com، ثم تكتبها في logAzure.txt، وهو ملف متنكر كسجل روتيني. هذه بيانات اعتماد مخزنة للعميل، وليست رموز وصول، وعلى عكس حركة مرور التقويم، تعمل هذه القناة بشكل واضح.

ترتبط مجموعة Group-IB هولوغرافي بـ كافيرن بثقة عالية، بناءً على بناء الجملة المشتركة والتكليف الداخلي المتطابق. كافيرن هو إطار خلفي معياري وثقته Check Point في وقت سابق من هذا الشهر ونسبته إلى جهة مرتبطة بوزارة الاستخبارات والأمن الإيرانية تُسمى كافيرن مانتيكورن، وهي مجموعة تقول إنها تتداخل مع المجموعات الإيرانية المعروفة MuddyWater وLyceum.

لكن الرابط القوي هو الكود، وليس الطاقم. لن تكشف مجموعة Group-IB عن المشغل وراء هذه الحملة: “استنادًا إلى الأدلة المتاحة حاليًا، لا يمكننا بشكل موثوق نسب هذا النشاط إلى أي جهة تهديد معروفة سابقًا”، مشيرة فقط إلى تداخل منخفض الثقة مع Lyceum، وهي مجموعة فرعية من الفاعل الإيراني OilRig. صندوق البريد المخترق ينتمي إلى منظمة إسرائيلية، لكن مجموعة Group-IB تعتبر ذلك جغرافيا ضحية، وليس نسبة.

وجدت مجموعة Group-IB البرمجية على 12 جهازًا على الأقل، وكان حوالي ثلاثة منها تتحدث بنشاط إلى المهاجم خلال نافذة التحليل، مع حركة مرور الضحايا التي جرت من 3 يونيو إلى 9 يوليو 2026. تقرأ تلك البصمة الصغيرة والانتقائية كعملية تجسس مستهدفة بدلاً من جريمة انتهازية، على الرغم من أن التقنية وراءها يمكن إعادة استخدامها بشكل أوسع بكثير من هذه الحملة الواحدة.

لا توجد ثغرة في برامج Microsoft هنا ولا تصحيح يجب نشره. تعتمد هولوغرافي على حساب مخترق ووظائف API الخاصة بـ Graph، وهو بالضبط السبب في أنه من الصعب اكتشافه. العمل هنا يتعلق بالهوية وأذونات التطبيقات بالإضافة إلى المراقبة، وليس تصحيح.

ما يجب مراقبته

تستند نصيحة الكشف من مجموعة Group-IB إلى عادات البرمجية نفسها، وتعيش أقوى الإشارات في التقويم نفسه. ابحث عن الأحداث التي تحمل:

• تاريخ بعيد في المستقبل، تحديدًا 13 مايو 2050؛
• موضوعًا هو GUID عاري، أو يتطابق مع معرف الحدث الخاص بالمشغل: أو Boss{..}ID{..}؛
• مرفقات تحمل اسم File{n}.txt.

على جانب الهوية، توصي الشركة بتقييد وتدقيق تطبيقات OAuth ذات بيانات الاعتماد الخاصة بالعميل التي يمكنها الوصول إلى Graph وتنبيه على الأسرار الجديدة التي تم إنشاؤها، بالإضافة إلى النظافة المعتادة لـ Entra ID مثل الوصول الشرطي، وتدوير البيانات، واكتشاف الرموز الشاذة.

للكشف، قم بتدقيق نشاط Microsoft Graph وصندوق البريد لتغييرات التقويم المدفوعة بالتطبيق: الأحداث التي تم إنشاؤها، المرفقات التي تم تحميلها، أو الموضوعات التي تم إعادة تسميتها بواسطة تطبيق بدلاً من شخص. راقب DNS أيضًا، بحثًا عن استفسارات AAAA المتكررة بشكل غير عادي ونطاقات فرعية طويلة وعالية التعقيد موجهة إلى نطاق واحد. يعتبر البحث عن cloudlanecdn[.]com وملف التكوين logAzure.txt هو المرور الأول السريع، ومجموعة المؤشرات الكاملة، بما في ذلك تجزئات الملفات، موجودة في تقرير مجموعة Group-IB.

إخفاء قنوات التحكم في خدمات Microsoft الموثوقة ليس جديدًا؛ فقد قام المهاجمون بالفعل بتشغيلها عبر صناديق الوارد في Outlook، ومجلدات المسودات وOneDrive. الأحداث الموقوفة في عام 2050، حيث لا ينظر أحد، هي ببساطة أحدث مكان لم يكن لدى المدافعين سبب لفحصه. لا يزال المشغل بلا اسم، وكانت حركة مرور الضحايا تتدفق حتى 9 يوليو، مما يجعل تلك الإدخالات في التقويم البعيد تستحق نظرة الآن.