کمیته رکن چهارم– پژوهشگران Huntress از کارزاری خبر داده‌اند که با سرقت و استفاده دوباره از نشست ورود، به حساب‌های Microsoft 365 در ۷۹ سازمان دسترسی یافته است. مهاجمان پس از ورود، روش‌های تأیید هویت و قواعد صندوق ایمیل را تغییر می‌دادند تا دسترسی خود را حفظ کنند.
به گزارش کمیته رکن چهارم، گزارش منتشرشده در The Hacker News در ۲۶ اکتبر ۲۰۲۶، فعالیت بررسی‌شده را مربوط به بازه ۱۴ ژوئیه تا ۲۲ سپتامبر می‌داند. Huntress در این بازه ۴۹۷ رویداد ورود موفق مرتبط با کارزار و دست‌کم ۴۸ دستگاه جعلی ثبت‌شده در Entra شناسایی کرده است.
در این روش، صفحه ورود جعلی میان کاربر و سرویس واقعی قرار می‌گیرد و پس از تکمیل ورود و تأیید چندمرحله‌ای، توکن نشست را می‌رباید؛ توکنی که مانند مدرک ورود عمل می‌کند. مهاجم می‌تواند از آن برای ورود دوباره استفاده کند، بدون آنکه همان مرحله تأیید را تکرار کند.
مهاجمان در برخی حساب‌ها ابزار تأیید هویت خود را افزودند و قواعدی برای پنهان‌کردن یا حذف ایمیل‌ها ساختند. این دسترسی می‌تواند به جعل مکاتبات کاری و سوءاستفاده مالی منجر شود؛ تعداد ورودهای موفق برابر تعداد حساب‌های یکتا نیست.
توصیه Huntress در صورت ظن به نفوذ، لغو نشست‌ها و تغییر رمز، حذف دستگاه‌ها و روش‌های تأیید هویت ناشناس و بررسی قواعد صندوق ایمیل است. تغییر رمز به‌تنهایی این ماندگاری‌ها را پاک نمی‌کند. مدیران همچنین باید سیاست‌های دسترسی مشروط را بازبینی کنند.
منبع: The Hacker News
