مجموعة قرصنة مدعومة من الدولة الروسية تُعرف باسم Laundry Bear، ويتم تتبعها أيضًا تحت اسم Void Blizzard، تم ضبطها وهي تستغل ثغرة غير معروفة سابقًا في واجهة Outlook Web Access (OWA) الخاصة بـ Microsoft Exchange. تنشر الحملة بابًا خلفيًا مخصصًا يُسمى OWAReaper، مما يمنح المهاجمين وصولًا هادئًا طويل الأمد إلى حسابات البريد الإلكتروني للضحايا. اختراق ثغرة يوم الصفر في Exchange OWA هذا يُذكّر بأن أنظمة البريد الإلكتروني المؤسسية لا تزال واحدة من أكثر الأهداف جاذبية للتجسس المدعوم من الدولة، وأن التصحيح وحده نادرًا ما يسد الفجوة بالسرعة الكافية.

ما هي حملة Laundry Bear / OWAReaper

Laundry Bear، والتي يُشار إليها أيضًا باسم Void Blizzard، هي جهة تهديد مدعومة من الدولة الروسية ولها سجل حافل في استهداف البنية التحتية للبريد الإلكتروني الحكومي والدفاعي والمؤسسي. في هذه الحملة الأخيرة، تستغل المجموعة ثغرة يوم الصفر في Exchange OWA، وهي البوابة الإلكترونية التي تتيح للموظفين تفقد البريد الإلكتروني من أي متصفح دون الحاجة إلى عميل سطح مكتب مخصص. من خلال استغلال هذه الثغرة، يقوم المهاجمون بنشر OWAReaper، وهو باب خلفي صُمم خصيصًا للوصول الطويل والخفي إلى صناديق البريد، وليس لسرقة بيانات سريعة.

ما يجعل هذه الحملة لافتة هو استمراريتها. فبدلاً من تسريب البيانات مرة واحدة ثم المغادرة، يبدو أن الهدف هو الحفاظ على موطئ قدم داخل صناديق البريد المستهدفة لفترات طويلة، مما يسمح بمراقبة الاتصالات بشكل مستمر. هذا النوع من الوصول طويل الأمد هو سمة مميزة لعمليات التجسس وليس للجرائم الإلكترونية ذات الدوافع المالية، وهو يتناسب مع نمط الجهات الروسية الحكومية التي تستكشف منصات البريد الإلكتروني المؤسسية على الويب بحثًا عن هذا النوع بالتحديد من الثغرات الخفية. وهو يردد حملة مماثلة حيث استغل جواسيس روس ثغرة يوم الصفر في Zimbra لاستهداف بريد الناتو، مما يُظهر أن منصات البريد الإلكتروني عبر الويب من عدة مزودين يتم استكشافها من قبل نفس فئة الخصوم.

من هم المعرضون للخطر من ثغرة Exchange هذه

المؤسسات التي تشغل خوادم Exchange محلية أو هجينة مع تعريض OWA للإنترنت هي الأكثر عرضة للخطر. صُممت OWA لتوفير الراحة: يستخدمها الموظفون والتنفيذيون ومسؤولو تكنولوجيا المعلومات للوصول إلى البريد الإلكتروني عن بُعد دون الحاجة إلى عميل VPN أو جهاز مُدار. هذه الراحة نفسها هي بالضبط ما يجعلها هدفًا عالي القيمة. أي مؤسسة يمكن لموظفيها تسجيل الدخول إلى البريد الإلكتروني عبر الويب من حاسوب محمول غير مُدار أو هاتف شخصي أو شبكة عامة تكون معرضة للخطر إذا لم يتم تحصين خادم Exchange الأساسي أو تصحيحه ضد هذه الثغرة.

الوكالات الحكومية ومقاولو الدفاع والمؤسسات التي تتعامل مع اتصالات دبلوماسية أو سياسية حساسة هي تاريخيًا الأهداف المفضلة لمجموعات مثل Laundry Bear. لكن الأدوات المستخدمة في هذه الحملات غالبًا ما يُعاد توظيفها أو نسخها من قبل جهات أقل تطورًا بمجرد أن تصبح التفاصيل علنية، مما يعني أن الشركات الصغيرة والمنظمات غير الحكومية يجب ألا تفترض أنها أهداف غير مهمة لمجرد أنها تفتقر إلى القيمة الاستراتيجية لدولة قومية.

لماذا تظل أنظمة البريد الإلكتروني المؤسسية غير المُصححة هدفًا رئيسيًا للتجسس

لا يزال البريد الإلكتروني هو العمود الفقري للاتصالات المؤسسية، مما يجعل صناديق البريد مصدرًا استخباراتيًا لا مثيل له. صندوق بريد واحد مخترق يمكن أن يكشف عن الاستراتيجية الداخلية ومعلومات التعريف الشخصية والتفاصيل المالية والاتصالات مع الشركاء أو العملاء. Exchange، على وجه الخصوص، تم استهدافه مرارًا وتكرارًا على مر السنين لأنه يقع عند تقاطع شيئين يريدهما المهاجمون بشدة: التعرض الواسع للإنترنت عبر بوابات البريد الإلكتروني على الويب والتكامل العميق مع الشبكة الداخلية للمؤسسة.

الثغرات من نوع يوم الصفر مثل تلك التي تقف وراء حملة OWAReaper هذه خطيرة بشكل خاص لأنه لا يوجد تصحيح متاح لحظة الاكتشاف. يظل المدافعون يعتمدون على الكشف وتجزئة الشبكة وقيود الوصول حتى يتم إصدار إصلاح من البائع وتطبيقه. هذه الفجوة الزمنية، التي قد تستمر أحيانًا لأسابيع، هي بالضبط الوقت الذي تُحدث فيه المجموعات المدعومة من الدولة أكبر ضرر، حيث تزرع أبوابًا خلفية يمكنها الصمود لفترة طويلة بعد أن يتم تصحيح الثغرة الأصلية في النهاية.

كيف تتناسب الشبكات الافتراضية الخاصة (VPN) والضمانات الأخرى مع تأمين الوصول إلى البريد الإلكتروني المؤسسي

لا يمكن لشبكة VPN وحدها أن تمنع المهاجم من استغلال خلل في تطبيق البريد الإلكتروني على الويب نفسه، لكنها تظل طبقة ذات مغزى في استراتيجية دفاعية أوسع. تقييد الوصول إلى OWA ليشمل فقط الأجهزة المتصلة عبر شبكة VPN خاصة بالشركة، بدلاً من تركها مفتوحة للإنترنت بالكامل، يقلص سطح الهجوم بشكل كبير. أضف إلى ذلك المصادقة متعددة العوامل وتجزئة الشبكة والمراقبة الصارمة لسجلات الوصول إلى صندوق البريد، وستجعل المؤسسات من الصعب جدًا على باب خلفي مثل OWAReaper أن يعمل دون اكتشاف، حتى لو تم استغلال ثغرة يوم الصفر.

ماذا يعني هذا بالنسبة لك

إذا كنت تعمل في مؤسسة تعتمد على Exchange وOWA، فهذه إشارة للتحقق مع فريق تكنولوجيا المعلومات أو الأمن لديك حول حالة التصحيح الحالية وما إذا كانت OWA معرضة مباشرة للإنترنت أم محمية خلف شبكة VPN. بالنسبة لمسؤولي تكنولوجيا المعلومات، فإن تشديد ضوابط الوصول الآن، بدلاً من انتظار تصحيح رسمي، يمكن أن يقلل من المخاطر بشكل ملموس. بالنسبة للموظفين الأفراد، هذه لحظة جيدة لتوخي المزيد من الحذر بشأن مطالبات تسجيل الدخول غير المتوقعة، أو سلوك صندوق البريد غير المألوف، أو رسائل البريد الإلكتروني التي تبدو مريبة بعض الشيء، نظرًا لأن حملات الأبواب الخلفية غالبًا ما تعتمد على الاستمرارية الخفية بدلاً من الأعلام الحمراء الواضحة.

توصيات قابلة للتنفيذ

  • اسأل قسم تكنولوجيا المعلومات لديك عما إذا كانت خوادم Exchange في مؤسستك قد تلقت أحدث تحديثات الأمان المتعلقة بـ OWA.
  • حيثما أمكن، قم بتقييد الوصول إلى OWA ليشمل الأجهزة المتصلة عبر VPN بدلاً من تركها مفتوحة للإنترنت العام.
  • قم بتمكين وفرض المصادقة متعددة العوامل على جميع حسابات البريد الإلكتروني، خاصة تلك التي تمتلك صلاحيات إدارية.
  • راقب قواعد صندوق البريد غير المعتادة، أو إعدادات إعادة التوجيه، أو مواقع تسجيل الدخول التي قد تشير إلى أن بابًا خلفيًا مثل OWAReaper نشط بالفعل.
  • ابق على اطلاع بالحملات ذات الصلة، بما في ذلك النمط الذي شوهد عندما استغل جواسيس روس ثغرة يوم الصفر في Zimbra لاستهداف بريد الناتو، حيث أن الجهات المدعومة من الدولة غالبًا ما تناور بين أهداف عبر منصات بريد إلكتروني مختلفة.

اختراق ثغرة يوم الصفر في Exchange OWA هذا يؤكد حقيقة أوسع: البريد الإلكتروني المؤسسي سيظل هدفًا رئيسيًا للتجسس المدعوم من الدولة طالما أنه يظل حيويًا للمهام ومعروضًا على الإنترنت. البقاء متقدمًا يتطلب أكثر من مجرد إصلاح واحد. إنه يتطلب ضوابط وصول متعددة الطبقات ومراقبة يقظة وعادة التعامل مع بوابات البريد الإلكتروني على الويب بنفس مستوى التدقيق المطبق على أي قطعة بنية تحتية حيوية أخرى.