#

أهم النقاط

• يمكن لحملات ACR Stealer أن تحوّل مطالبات المستخدم الروتينية إلى سرقة بيانات الاعتماد.

• استخدمت الهجمات الهندسة الاجتماعية والبرامج النصية المموهة والتنفيذ داخل الذاكرة.

• ينبغي على الشركات المغربية التي تستخدم Microsoft 365 مراجعة الوصول والتدريب وضوابط الأجهزة الطرفية.

• حماية البيانات مهمة لأن السرقة تستهدف كلمات المرور وملفات تعريف الارتباط والرموز والملفات التجارية.

• يجب أن تشمل الحوكمة المشتريات ومزيج اللغات والاستجابة للحوادث.

ما الذي لاحظته مايكروسوفت

أفاد موقع BleepingComputer بأن مايكروسوفت رصدت زيادة في هجمات ACR Stealer ضد عملاء المؤسسات. استخدمت الحملات الهندسة الاجتماعية ClickFix وعدة طرق للتسليم. وشملت هذه الطرق خوادم WebDAV وMSHTA وPowerShell المموه وعمليات تحميل Python المدمجة والمهام المجدولة والتنفيذ داخل الذاكرة.

وكان الهدف المبلغ عنه هو سرقة بيانات الاعتماد وسرقة البيانات. وشملت العناصر المسروقة كلمات مرور المتصفح وملفات تعريف الارتباط وبيانات الجلسة ورموز المصادقة وملفات PDF ومستندات Microsoft 365 والملفات من مجلدات Desktop وDownloads وOneDrive وSharePoint. وبالنسبة للقراء المغاربة، فإن هذا المزيج مهم لأن كثيراً من سير العمل التجاري يعتمد على التخزين السحابي المشترك والوصول عبر المتصفح.

لماذا يهم هذا المغرب

هذا التقرير مهم للشركات المغربية التي تستخدم Microsoft 365. فالمخاطر ليست تقنية فقط، بل تعتمد أيضاً على كيفية استجابة المستخدمين للمطالبات والأوامر المنسوخة والتعليمات غير المتوقعة.

في المغرب، تعمل فرق كثيرة بالفرنسية والعربية والإنجليزية. وقد يساعد هذا المزيج اللغوي المهاجمين إذا كان التدريب غير متسق. فقد تبدو مطالبة ما غير ضارة بلغة معينة، لكنها قد تدفع المستخدم مع ذلك إلى تشغيل أمر خبيث.

كما أن التهديد يتوافق مع واقع المؤسسات الشائع. فبعض المنظمات لديها عدد محدود من موظفي الأمن. وأخرى تعتمد على أجهزة مشتركة أو مشتريات مختلطة أو إعدادات طرفية قديمة. وفي مثل هذه البيئات، يمكن لحساب واحد مخترق أن يكشف البريد الإلكتروني والمستندات وسير العمل الداخلي.

كيف يعمل مسار الهجوم

اعتمدت الحملات المبلغ عنها أولاً على الهندسة الاجتماعية. وهذا يعني أن المهاجم يحاول إقناع المستخدم باتخاذ إجراء. وفي هذه الحالة، قد يؤدي الإجراء إلى نسخ أمر أو تنفيذه.

بعد ذلك، استخدمت سلسلة الهجوم أدوات وبرامج نصية يمكنها تقليل الآثار المرئية. يمكن لـ PowerShell المموه إخفاء النية. ويمكن للتنفيذ داخل الذاكرة أن يجعل الاكتشاف أصعب. ويمكن للمهام المجدولة أن تساعد البرمجية الخبيثة على العودة لاحقاً. وبالنسبة لفرق تقنية المعلومات المغربية، فهذا يعني أن برنامج مكافحة الفيروسات الأساسي قد لا يكون كافياً.

وتعد بيانات المتصفح المسروقة مهمة بشكل خاص. فبإمكان كلمات المرور ورموز الجلسة أن تسمح للمهاجم بإعادة استخدام الوصول دون الحاجة إلى اختراق جديد. وإذا كان الموظف المغربي يستخدم ملف المتصفح نفسه للعمل والمهام الشخصية، فقد يصبح نطاق التعرض أوسع.

السياق المغربي: نقاط التعرض العملية

تعتمد المؤسسات المغربية كثيراً على التعاون السحابي والبريد الإلكتروني والأدوات المعتمدة على المتصفح. وهذا يجعل حسابات Microsoft 365 أهدافاً ثمينة. وإذا حصل المهاجم على رمز جلسة صالح، فقد لا يحتاج إلى فرض إعادة تعيين كلمة المرور فوراً.

وتعد توافر البيانات قضية أخرى. ففرق الأمن تحتاج إلى السجلات وقياسات التليمترية من الأجهزة الطرفية وسجلات نشاط الحسابات. وإذا كانت هذه السجلات غير مكتملة، يصبح من الأصعب معرفة مدى انتشار الهجوم. وهذا قيد شائع لدى فرق تقنية المعلومات الصغيرة والبيئات المعتمدة على جهات خارجية.

كما أن المشتريات مهمة. فبعض المؤسسات تشتري الأدوات على مراحل. وقد يكون لديها أمن للبريد الإلكتروني لكن لا تملك كشفاً على الأجهزة الطرفية. أو قد تملك أدوات طرفية لكن ضوابط هوية ضعيفة. ويمكن لهجمات على نمط ACR Stealer استغلال هذه الفجوات.

حالات الاستخدام في المغرب: أين يكون الخطر أعلى

يكون الخطر أعلى في البيئات التي يتعامل فيها الموظفون مع الكثير من المستندات وجلسات المتصفح. ويشمل ذلك فرق المالية والإدارة والمبيعات والشؤون القانونية والعمليات. وغالباً ما يفتح هؤلاء المستخدمون ملفات PDF وينزلون الملفات وينقلون المستندات عبر المجلدات المشتركة.

كما أن الأمر مهم للمؤسسات التي تعتمد بكثافة على OneDrive أو SharePoint. فقد استهدفت الحملة المبلغ عنها الملفات في تلك المواقع. وبالنسبة للقراء المغاربة، يعني ذلك أن التخزين السحابي يجب أن يُعامل كسطح أمني أساسي، لا مجرد طبقة للراحة.

وقد يزيد العمل عن بُعد من التعرض أيضاً. فإذا نسخ الموظفون أوامر من دردشة أو بريد إلكتروني أو رسالة دعم، فقد لا يلاحظون الفرق بين تعليمات حقيقية وتعليمات خبيثة. ولهذا فإن خطوات التحقق من المستخدم مهمة.

المخاطر والحوكمة

الخطر الرئيسي هو اختراق الحسابات. فبمجرد أن يحصل المهاجم على كلمات المرور أو ملفات تعريف الارتباط أو الرموز، قد يتمكن من الوصول إلى صناديق البريد والمستندات. وقد ينتحل أيضاً هوية المستخدمين داخل المؤسسة.

وهناك أيضاً مخاوف تتعلق بالخصوصية والامتثال. فقد تحتوي ملفات PDF ومستندات Microsoft 365 المسروقة على بيانات شخصية أو عقود أو سجلات داخلية. وستحتاج المؤسسات المغربية إلى قواعد واضحة لتصنيف البيانات والاحتفاظ بها والتعامل مع الحوادث. كما ستحتاج إلى النظر في ضوابط الأمن السيبراني حول الوصول المميز والحسابات المشتركة.

اللغة والتدريب من قضايا الحوكمة أيضاً. يجب أن تكون إرشادات الأمن مفهومة باللغات التي يستخدمها الموظفون فعلياً. وإذا كان التدريب متاحاً بلغة واحدة فقط، فقد يفوت بعض المستخدمين علامات التحذير. وهذا خطر عملي وليس نظرياً.

ما الذي ينبغي على الشركات المغربية فعله بعد ذلك

ابدأوا بتوعية المستخدمين. درّبوا الموظفين على عدم تشغيل الأوامر المنسوخة من مطالبات غير متوقعة. وتأكدوا من أنهم يعرفون كيفية التحقق من الطلبات عبر قناة ثانية. واجعلوا الإرشادات قصيرة وكرروها كثيراً.

ثم راجعوا ضوابط الهوية. استخدموا مصادقة قوية، وقللوا مدة الجلسة حيثما أمكن، وراقبوا عمليات تسجيل الدخول غير المعتادة. وإذا سُرق رمز أو ملف تعريف ارتباط، يصبح الاكتشاف السريع أمراً حاسماً. كما ينبغي لفرق تقنية المعلومات المغربية التحقق مما إذا كانت الحسابات المشتركة لا تزال موجودة وإزالتها حيثما أمكن.

يجب أن يلي ذلك تشديد حماية الأجهزة الطرفية. قيدوا تنفيذ البرامج النصية عند الاقتضاء. وراقبوا PowerShell المشبوه وMSHTA والمهام المجدولة والسلوك غير المعتاد داخل الذاكرة. وإذا كانت بيئتكم تسمح بذلك، فاختبروا ما إذا كان كشف الأجهزة الطرفية يمكنه رصد هذه الأنماط.

وأخيراً، حسّنوا ضوابط المستندات والسحابة. راجعوا الوصول إلى OneDrive وSharePoint. وقللوا الأذونات الواسعة. وحافظوا على تحديث النسخ الاحتياطية وإجراءات الاستعادة. وبالنسبة للمؤسسات المغربية، فهذا مهم بشكل خاص عندما تعتمد الفرق على عدد قليل من المستودعات المشتركة.

استجابة واقعية للقراء المغاربة

هذا التهديد لا يتطلب إعادة هيكلة جذرية. بل يتطلب أساسيات منضبطة. ويشمل ذلك تدريباً أفضل للمستخدمين، وضوابط هوية أكثر صرامة، ومراقبة أقوى للأجهزة الطرفية.

كما يتطلب تخطيطاً واقعياً. فلن تتمكن بعض المؤسسات من سد كل الفجوات دفعة واحدة. وهذا أمر طبيعي. والأولوية هي تقليل أسهل المسارات أولاً: الأوامر المنسوخة، والمصادقة الضعيفة، والوصول الواسع إلى الملفات، وضعف الرؤية.

وبالنسبة لصناع السياسات وقادة المؤسسات في المغرب، فالدرس بسيط. يمكن لأدوات الإنتاجية السحابية أن تحسن السرعة، لكنها توسع أيضاً سطح الهجوم. وينبغي لبرامج الأمن أن تعكس هذه الحقيقة، خاصة عندما تكون Microsoft 365 في قلب العمل اليومي.