Luna Moth تعود لمكاتب المحاماة وتسرق توكنات Microsoft بالخداع

بحسب فريق ReliaQuest، تستهدف Luna Moth مكاتب المحاماة منذ منتصف 2023 على الأقل. وتعود الآن إلى الضحايا أنفسهم بعد أسابيع أو أشهر، لأنها تعرف أنهم قابلون للخداع، ولأن بيانات عملاء مكاتب المحاماة حساسة جداً وفضيحة تسريبها كبيرة.

خطوات الخدعة

1. يصل بريد بلا عنوان من حساب مجاني، ومعه ملف PDF تالف يدّعي أنه تقرير عمل، فلا يفتح.
2. بعد قليل يتصل المهاجم منتحلاً صفة الدعم الفني، بحجة تنبيه أمني، ويعرض إصلاح الملف (Vishing).
3. في مكالمة فيديو يطلب مشاركة الشاشة، ثم فتح Microsoft Copilot في المتصفح، وفتح أدوات المطور (Developer Tools)، والبحث عن الطلب المرسل إلى Microsoft Graph، ونسخ الـ Access Token.
4. يطلب لصق التوكن في موقع عام لمشاركة النصوص، ثم يستخدمه لتنزيل الملفات عبر Microsoft Graph API.

لماذا لا تنطلق الإنذارات؟

التوكن صدر لجهاز موثوق، والمستخدم أكمل تسجيل دخول حقيقياً بـ MFA. والتوكن من نوع Bearer يعمل من أي مكان حتى ينتهي، وعمره الافتراضي 60 إلى 90 دقيقة، إلا إذا فُعّلت ميزة CAE مع شروط موقع صارمة.

كيف تحمي فريقك؟

• أخبر الموظفين بوضوح: الدعم الفني لن يطلب منك أبداً فتح أدوات المطور أو نسخ توكن. وتحقق من أي طلب بمعاودة الاتصال على رقم الدعم الرسمي.
• فعّل Continuous Access Evaluation (CAE) افتراضياً.
• احجب أدوات المطور في المتصفحات المدارة لمن لا يحتاجها.
• قيّد أدوات الدعم عن بُعد ومشاركة الشاشة لمن لا يحتاجها في عمله.