حملة قرصنة روسية تستهدف أكثر من 100 مؤسسة عالمية بملفات RDP خبيثة.. ما القصة؟

الخميس، 31 أكتوبر 2024 10:45 م

كشفت مايكروسوفت أن مجموعة التهديد الروسية المعروفة باسم Cozy Bear (أو APT29، UNC2452، Midnight Blizzard) أطلقت حملة تصيد جديدة، تستهدف أكثر من 100 مؤسسة على مستوى العالم، خصوصًا في أوكرانيا، الولايات المتحدة، وأوروبا.

بحسب “hackread”، تستخدم هذه الحملة رسائل بريد إلكتروني موجهة بعناية لإغراء المستخدمين بفتح ملفات ضارة، ما يمنح المهاجمين الوصول إلى معلومات حساسة.

ماذا يميز هذا الهجوم؟

تتضمن هذه الحملة تكتيكًا غير مسبوق باستخدام ملفات بروتوكول سطح المكتب البعيد (RDP) الموقعة، والتي يتم إرسالها كمرفقات في رسائل البريد الإلكتروني التصيدية.

تأتي هذه الرسائل غالبًا بتصميم يخدع المستخدمين، حيث تتظاهر بأنها وثائق من شركات مثل Microsoft وAmazon Web Services (AWS) وذات صلة بمفهوم "الثقة الصفرية" Zero Trust. لتحقيق المزيد من المصداقية، ينتحل المهاجمون شخصية موظفين من مايكروسوفت.

كيف يعمل الهجوم؟

عند فتح المستخدم للملف الضار، يتم إنشاء اتصال بخادم يتحكم به Cozy Bear، ما يسمح للمهاجمين بالوصول إلى مجموعة واسعة من الموارد على جهاز الضحية، مثل الملفات والأجهزة المتصلة وبيانات الحافظة، وحتى ميزات المصادقة. يمكن استغلال هذا الوصول لزرع برمجيات خبيثة وسرقة البيانات الحساسة والحفاظ على اتصال دائم حتى بعد إغلاق جلسة RDP.

المخاطر المحتملة

يمكن للملف الخبيث Cozy Bear ان يحصل من خلال هذا الهجوم على معلومات حكومية سرية وبيانات حساسة، بالإضافة إلى إمكانية استخدام الأجهزة المخترقة كنقطة انطلاق لهجمات أخرى، مما يعرض الأنظمة المتصلة لمخاطر إضافية.

وأوضح باتريك هار، الرئيس التنفيذي لشركة SlashNext Email Security، أن "التصيد يظل التهديد الأكبر للمؤسسات، مما يستدعي تدريب المستخدمين بشكل مستمر واستخدام الذكاء الاصطناعي لاكتشاف الروابط والملفات الضارة في رسائل البريد والتطبيقات".

وأضاف باتريك: "الهجمات الجديدة والمعقدة، والتي تنشأ بواسطة الذكاء الاصطناعي، تتخطى بوابات البريد الإلكتروني الآمنة وحتى Microsoft Defender، ولا يمكن مواجهتها إلا باستخدام حلول ذكاء اصطناعي تمنع الاختراقات قبل حدوثها".

تعمل مايكروسوفت بالتعاون مع CERT-UA وأمازون لإبلاغ العملاء المتأثرين، ويحث الخبراء السيبرانيون المؤسسات والأفراد على الحذر عند التعامل مع رسائل البريد الإلكتروني التي تحتوي على مرفقات أو تطلب الوصول عن بعد.