تحقق «مايكروسوفت دارت» في خرق لأمن «شيربوينت» تورط فيه جهات تهديد منفصلتان

تستهدف الجهة التهديدية المعروفة باسم «Storm-2603» والمتمركزة في الصين خوادم SharePoint منذ (على الأقل) منتصف عام 2025. وقد استغل الهجوم ثغرتين أمنيتين معروفتين:

• CVE-2025-49706: تسمح عملية المصادقة غير السليمة في Microsoft Office SharePoint للمهاجمين بالقيام بعمليات انتحال الهوية عبر الشبكة

• CVE-2025-49704: حقن التعليمات البرمجية في Microsoft Office SharePoint، مما يتيح للمهاجمين تنفيذ التعليمات البرمجية عبر الشبكة

بعد الاختراق، بحثت «ستورم-2603» عن نقاط دخول إضافية من خلال أنشطة استطلاعية، بما في ذلك طلبات الحصول على ملفات التكوين الحساسة. وفي هذه الحالة، كان الملفان هما «win.ini» و«web.config».

تم تنفيذ الهجوم على ثلاث مراحل:

1. استخدمت المجموعة برنامج «فيلوسيرابتور» (Velociraptor) المزود بامتيازات على مستوى النظام (SYSTEM) لرسم خريطة للبيئة، حيث قامت عمداً بدمج الأنشطة الخبيثة مع السلوك الإداري الموثوق به.

2. ثم تم إنشاء اتصال عن بُعد عبر قنوات متعددة: نفق Cloudflare، وZoho Assist، واتصالات SSH التي تم تكوينها عبر Visual Studio Code.

3. تبع ذلك تصعيد الامتيازات، حيث تم إنشاء حسابات جديدة لمسؤولي النظام المحلي والمجال للحفاظ على حق الوصول.

أثناء التحقيق الذي أجرته DART، اكتشفت الجهة الجنائية الثانية غير المرتبطة بالأولى والتي كانت تعمل بالتوازي معها. وقد استخدمت هذه الجهة الجنائية تقنيتين لا علاقة لهما بـ «Storm-2603».

• التحميل الجانبي لملفات DLL، بهدف زرع شفرة خبيثة داخل ملفات نظام ويندوز الشرعية، بحيث يتم تنفيذها تحت غطاء عملية موثوق بها

• ثغرات أمنية مخصصة؛ أدوات خصيصًا للحفاظ على وصول خفي أدوات أن تكتشفه أدوات الأمان القياسية

وقد صُممت كلتا التقنيتين بهدف التخفي، بحيث تُخفيان وجود الجهة الفاعلة الثانية. وحتى وقت كتابة هذا التقرير، لم يتم تحديد هوية الجهة الفاعلة الثانية.

إن تمكن مهاجم واحد من اختراق النظام أمر سيئ بحد ذاته.

أما أن يعمل اثنان بشكل مستقل، في نفس البيئة المخترقة، فهذه مشكلة مختلفة تمامًا، مما يشير إلى أنه بمجرد الكشف عن ثغرة أمنية، سيتسابق العديد من الجهات التهديدية لاستغلالها. ربما كانت مجموعة «ستورم-2603» أول من استغل هذين الرقمين التعريفيين للثغرات الأمنية (CVE)، لكنها لم تكن الأخيرة؛ ومن شبه المؤكد أنها لن تكون المجموعة الوحيدة التي ستقوم بذلك في المستقبل.

لا يؤكد التقرير وجود صلة بين هذين الفاعلين أو أنهما كانا يتعاونان. لكن، سواء عن قصد أو دون قصد، كان كل منهما يحجب نشاط الآخر من خلال مجموعتين من الأنشطة الخبيثة المتداخلة في نفس البيئة.

اتبع المهاجمون نهجًا منهجيًّا في عملية الاختراق، حيث كانوا على دراية أدوات التي تعتمد عليها فرق أدوات ، والعمليات التي تندمج مع السلوك الإداري العادي، وكيفية البقاء متخفين لفترة أطول.

استخدم المهاجمون عن عمد برامج لا تؤدي بطبيعتها إلى إصدار تنبيهات أمنية. فـ«Velociraptor» هي أداة شرعية تستخدم في التحقيقات الجنائية؛ أما «Cloudflare» و«Zoho Assist» و«Visual Studio Code» فهي جميعها تطبيقات شائعة الاستخدام. ولن يكون هناك سبب واضح يدعو محرك مكافحة الفيروسات الذي يقوم بفحص البرامج الضارة المعروفة إلى الإبلاغ عن هذه البرامج.

يذكر التقرير أن الجهة المهددة قامت بتحميل برنامج تشغيل معرض للثغرات الأمنية (NSecKrnl.sys) للتلاعب بالذاكرة وتعطيل إجراءات حماية الأجهزة الطرفية. وهذا يعني أن أدوات الأمان أدوات تعطيلها بشكل فعال قبل أن تتمكن من اكتشاف الأنشطة اللاحقة.

ما يمكن للمنظمات التحكم فيه هو مدى جودة حماية بياناتها بمجرد حدوث ذلك.

وهذا هو الدور الذي يضطلع به MetaDefender™ Storage Security حيث يوفر أمان الملفات في بيئات SharePoint.

Storage Security MetaDefender Storage Security المعالجة في الوقت الفعلي لـ SharePoint On-Premises. ويتم فحص كل ملف يدخل إلى البيئة قبل أن يتسنى الوصول إليه أو مشاركته، سواء تم تحميله بواسطة مستخدم شرعي أو تم إدخاله عبر حساب تم اختراقه.

من خلال الجمع بين تقنية Metascan™ Multiscanning (أكثر من 30 محركًا لمكافحة البرامج الضارة) مع Adaptive Sandbox (التحليل الديناميكي القائم على المحاكاة)، يمكن للمؤسسات الكشف عن تكتيكات التهرب التي قد يفوتها الكشف القائم على محرك واحد.

بالنسبة للمؤسسات التي تستخدم SharePoint، فإن هذا يعني أن التهديدات التي تنتقل عبر الملفات، بما في ذلك تهديدات «اليوم صفر»، يتم اكتشافها عند نقطة الدخول، وليس بعد وقوعها.

لا يمكن لمحركات الكشف التأكد من خلو جميع الملفات من التهديدات، لذاStorage Security MetaDefender Storage Security طبقة أمان إضافية. تعمل تقنية Deep CDR™ الخاصة به على تفكيك الملفات وإزالة المحتوى الذي قد يكون ضارًا دون التأثير على قابلية استخدام الملف أو سير العمل الذي يدعمه.

يقوم برنامج Proactive DLP™ باكتشاف المعلومات السرية وحجبها وإخفاء هويتها، مما يمنع تسربها في حالة وقوع هجوم. وحتى إذا تمكنت الجهات الخبيثة من استخراج البيانات بمرور الوقت، فإن نظام DLP على مستوى طبقة التخزين يحد من تأثير تسرب البيانات. ولا تعتمد هذه الطبقة على ما إذا كان الاختراق نفسه قد تم اكتشافه أم لا.