مجموعة التهديدات الجديدة UNC6692 تستخدم هجمات البريد المزعج والرسائل الزائفة عبر Microsoft Teams لخداع الضحايا

حذر جوجل من مجموعة تهديدات غير معروفة سابقًا، تُعرف باسم UNC6692، تعتمد على استراتيجيات الهندسة الاجتماعية الذكية لتوزيع مجموعة من البرمجيات الخبيثة. تستخدم هذه الجماعة أساليب احتيالية متقنة لتنفيذ هجمات معقدة تستهدف المستخدمين عبر البريد الإلكتروني وMicrosoft Teams، بهدف سرقة البيانات واستغلال الأجهزة بشكل كامل.

كيف تعمل هجمات UNC6692؟

وفقًا لتقرير مفصل أصدرته جوجل، فإن المجموعة تُرسل كميات هائلة من الرسائل المزعجة إلى صناديق البريد الإلكتروني للضحايا خلال فترة زمنية قصيرة. بعد ذلك، يتواصل المهاجمون مع أصحاب البريد عبر منصة Microsoft Teams باستخدام ميزة التبادل بين الأطر (cross-tenant)، حيث يتظاهرون بأنهم مسؤولون في قسم تكنولوجيا المعلومات أو الدعم الفني.

خطوات الاحتيال تبدأ بالروابط المشبوهة

يقوم المهاجمون بنشر روابط تؤدي إلى صفحات هبوط، يدعون فيها إصلاح مشكلة في البريد المزعج أو تحسين الأداء. عند النقر على الرابط، يُطلب من الضحية إجراء “فحص صحة” من خلال الضغط على زر على الصفحة، مما يطلب من المستخدم تسجيل الدخول باستخدام بريده الإلكتروني وكلمة المرور، والتي تُسرق على الفور.

استراتيجية التلاعب تضمن سرقة البيانات

جوجل لاحظت أن محاولات تسجيل الدخول غالبًا ما تفشل في المرة الأولى، وهو أسلوب متعمد لزيادة مصداقية الهجمة ولتشجيع الضحايا على إعادة المحاولة، مما يزيد من فرص سرقة كلمات المرور بشكل فعال. بعد “تسجيل الدخول”، يتم تنفيذ فحص يُسمى “التحقق من سلامة البريد الإلكتروني”، والذي هو مجرد غطاء لعملية تثبيت البرمجيات الخبيثة.

إطار عمل “السنو” Snow يُخفي هجمات معقدة

عند ظهور رسالة “اكتمل التكوين بنجاح”، يكون المهاجمون قد حصلوا على بيانات الاعتماد وبدأوا في استغلال الأجهزة بشكل دائم باستخدام أدواتهم الخبيثة، التي تتكون من ثلاثة عناصر رئيسية، جميعها مستوحاة من الثلج في اسمها وتصميمها.

أدوات البرمجيات الخبيثة الـ3

• SnowBelt: إضافة متصفح تعتمد على Chromium، تقوم بإنشاء استمرارية عبر نظام تسجيل الإضافات في المتصفح، وغالبًا ما تُسمى “MS Heartbeat” أو “System Heartbeat”.
• SnowGlaze: أداة أنفاق (tunneling) تخلق نفق ويبSocket موثوق، يتيح التواصل السهل وسرقة البيانات إذا لزم الأمر.
• SnowBasin: بوابة خلفية (backdoor) تُمكن المهاجم من السيطرة الكاملة على الجهاز المستهدف.

كيف يحمي المستخدمون أنفسهم؟

• توخي الحذر عند فتح روابط غير موثوقة، خاصة تلك التي تأتي عبر البريد الإلكتروني أو منصات التواصل.
• التحقق من صحة الروابط وطلبات تسجيل الدخول قبل الإدلاء بكلمات المرور.
• الاعتماد على برامج مضادة للفيروسات محدثة وفحص الأجهزة بشكل دوري.
• تدريب الموظفين على التعرف على أساليب الهندسة الاجتماعية وطرق الاحتيال الشائعة.

ابق على اطلاع دائم على أحدث تهديدات الأمن السيبراني من خلال متابعة تقارير جوجل وTechRadar، واحرص على حماية بياناتك الشخصية والمؤسساتية من الهجمات المعقدة والمتطورة.

مجموعة التهديدات الجديدة UNC6692 تستخدم هجمات البريد المزعج والرسائل الزائفة عبر Microsoft Teams لخداع الضحايا