قام أحد عناصر التهديد بتعطيل حماية Microsoft Defender، وقتل أدوات التسجيل، وإزالة جدار حماية تطبيق الويب، وإضعاف حماية بيانات اعتماد Windows قبل استخدام الأدوات ذات الصلة بـ Mimikatz في اختراق الخادم الأخير.
الحادثة مفصلة في أتحليل الصيادةتم نشره في 29 يونيو 2026، وبدأ في 7 يونيو بنشاط تعداد مشبوه على خادم ويب مخترق. تم إنشاء النشاط من w3wp.exe، وهي العملية المنفذة لـ IIS التي تُستخدم عادةً للتعامل مع طلبات الويب.
عثر المحققون لاحقًا على غلاف ويب ASPX مخفي في دليل مخصص للصور. عاد المهاجم بعد معالجة غير كاملة، وأعاد بناء الوصول، ثم أطلق جهدًا أوسع بكثير لتعمية المدافعين قبل سرقة بيانات الاعتماد.
حاول المهاجمون تعمية فرق الأمن أولاً
وكان الجزء الأكثر أهمية في الهجوم هو ترتيب العمليات. لم ينتقل المهاجم على الفور إلى إلقاء بيانات الاعتماد. لقد حاولوا أولاً كسر الأنظمة التي من شأنها تسجيل المرحلة التالية أو اكتشافها أو حظرها.
يصنف MITRE ATT&CK هذا النوع من النشاط ضمنتعطيل أو تعديل الأدوات، وهي تقنية لإعاقة الدفاع حيث يتلاعب الخصوم ببرامج مكافحة الفيروسات أو عوامل التسجيل أو أدوات EDR أو أجهزة الاستشعار أو ملفات التكوين لتقليل الرؤية.
وقالت Huntress إن المهاجم ترك وراءه ملفًا دفعيًا باسم i.bat، والذي كشف عن سير عمل ضعف الدفاع. استهدف البرنامج النصي تسجيل IIS وMicrosoft Defender وSysmon وFilebeat وأدوات أمان نقطة النهاية وإعدادات WDigest وسجلات أحداث ModSecurity وWindows.
| منصة | ماذا حدث | لماذا يهم |
|---|---|---|
| الوصول الأولي | ظهر webshell على خادم ويب ضعيف | لقد أعطى المهاجم طريقة لتشغيل الأوامر من خلال IIS |
| استطلاع | قام المهاجم بتعداد المستخدمين والبرامج وتفاصيل النظام | وساعد في تحديد الحسابات والأدوات والمسارات الممكنة للتوسع |
| ضعف الدفاع | تم استهداف Defender وSysmon وFilebeat وحماية WAF وسجلات الأحداث | لقد أدى ذلك إلى تقليل المراقبة وجعل التحقيق في النشاط اللاحق أكثر صعوبة |
| الوصول إلى بيانات الاعتماد | تم استخدام المكونات ذات الصلة بـ Mimikatz وأدوات تفريغ بيانات الاعتماد | لقد خلق خطر كلمة المرور والتجزئة وسرقة الحساب |
| تنظيف | تم حذف الملفات ومفاتيح التسجيل وسجلات الأحداث | وحاولت إزالة أدلة الطب الشرعي |
تم استهداف Defender وSysmon وFilebeat
استخدم المهاجم أدوات إدارة Windows والبرامج النصية لإضعاف إعدادات Microsoft Defender. تقول مايكروسوفتتعيين MpPreferenceيقوم الأمر cmdlet بتكوين تفضيلات فحص وتحديث Defender، بما في ذلك الاستثناءات وإعدادات الأمان الأخرى.
استهدف البرنامج النصي أيضًاسيسمون، أداة مراقبة نظام Microsoft التي تسجل إنشاء العمليات، واتصالات الشبكة، وتحميل برامج التشغيل، وتغييرات الطابع الزمني للملف، والأنشطة الأخرى في سجل أحداث Windows.
من خلال قتل أو إزالة أدوات مثل Sysmon وFilebeat، قلل المهاجم من فرصة رؤية المدافعين لنشاط تفريغ بيانات الاعتماد والتنظيف لاحقًا. استهدف البرنامج النصي نفسه أيضًا منتجات الأمان وخدمات المراقبة من العديد من البائعين.
- تم تعطيل أو إضعاف حماية Microsoft Defender
- تم إنشاء استثناءات Defender للمسارات وأنواع الملفات التي يتحكم فيها المهاجم
- قتل عمليات Sysmon وFilebeat
- إيقاف أو حذف خدمات التسجيل والأمن
- إعدادات مصحح الأخطاء المستخدمة لتجميد الأدوات المحددة
- مسح سجلات أحداث الأمان والنظام والتطبيق والإعداد
قام المهاجم بإزالة حماية WAF من IIS
استهدفت الحملة أيضًا ModSecurity على IIS. يصف OWASP أجدار الحماية لتطبيقات الويبكطبقة حماية لتطبيقات HTTP التي تستخدم قواعد للمساعدة في اكتشاف الهجمات أو حظرها مثل حقن SQL والبرمجة النصية عبر المواقع.
وفقًا لـ Huntress، قام المهاجم بتعداد مواقع IIS والدلائل الافتراضية قبل إلغاء تثبيت وحدة ModSecurity IIS. وقد ترك ذلك الخادم أكثر عرضة لهجمات الويب اللاحقة، خاصة إذا لم يتم تصحيح التطبيق الأساسي بالكامل.
وهذا أمر مهم لأن تسوية webshell غالبًا ما تؤدي إلى أكثر من مشكلة واحدة. يمكن أن تؤدي إزالة WAF إلى تسهيل اختراق الخادم الضعيف مرة أخرى بينما لا يزال المدافعون يحاولون تنظيف الاقتحام الأول.
أدى خفض تصنيف WDigest إلى زيادة مخاطر سرقة بيانات الاعتماد
بعد تعطيل الدفاعات، قام المهاجم بإضعاف حماية بيانات اعتماد Windows عن طريق تعديل سلوك WDigest. مايكروسوفتتوجيهات WDigestيوضح أن قيمة التسجيل UseLogonCredential تتحكم في ما إذا كان WDigest يخزن بيانات الاعتماد في الذاكرة.
هذا التغيير مهد الطريق لإغراق أوراق الاعتماد. يتتبع MITRE هذا النشاط باسمتفريغ بيانات اعتماد نظام التشغيل، حيث يحاول الخصوم الحصول على معلومات تسجيل الدخول إلى الحساب أو التجزئة أو مسح كلمات المرور النصية من ذاكرة نظام التشغيل أو ذاكرة التخزين المؤقت أو مخازن بيانات الاعتماد الأخرى.
قام المهاجم أيضًا باستخراج مواد بيانات الاعتماد المتعلقة بـ ODBC من السجل واستخدم الأدوات التي كتبت البيانات المسروقة لإخراج الملفات. وقالت Huntress إن النشاط شمل سائق Mimikatz kernel قبل أن يحاول المهاجم حذف الأدلة.
| السيطرة المستهدفة | دور في البيئة | خطر عند الضعف |
|---|---|---|
| مايكروسوفت المدافع | منع البرامج الضارة لنقطة النهاية واكتشافها | قد يتم تشغيل البرامج النصية والأدوات الضارة مع عدد أقل من التنبيهات |
| سيسمون | القياس عن بعد لنظام Windows التفصيلي وتسجيل الأحداث | يصبح من الصعب تتبع نشاط العمليات والشبكة والملفات |
| فوز الملف | إعادة توجيه السجل إلى منصات التحليل | يمكن أن تنكسر الرؤية المركزية أثناء الهجوم |
| مودالأمن WAF | تصفية هجمات HTTP لتطبيقات الويب | تواجه تطبيقات الويب المزيد من التعرض لأنماط الهجوم الشائعة |
| WDigest | سلوك مصادقة Windows | يمكن أن يؤدي التكوين الخاطئ إلى زيادة فرصة الكشف عن بيانات اعتماد النص العادي |
اختبأ Webshell داخل دليل الصورة
ظهر الملف الأول المشبوه، UA4fp7R.aspx، في دليل صور جذر الويب. قالت Huntress إن الملف استخدم إخفاء المعلومات، مما سمح للحمولة بالظهور كصورة بينما لا تزال تحتوي على محتوى webshell قابل للتنفيذ.
وأشار التقرير أيضًا إلى وجود سلسلة علامة، ONEPIECE، مضمنة عبر صفحات الويب ذات الصلة. يمكن أن تساعد هذه العلامة المدافعين في تحديد الملفات ذات الصلة أثناء عمليات البحث عبر خوادم الويب والنسخ الاحتياطية وسجلات مراقبة سلامة الملفات.
عاد المهاجم أكثر من مرة بعد بدء نشاط الاستجابة. يوضح هذا سبب ضرورة تجنب فرق الاستجابة للحوادث إعادة الاتصال أو استعادة خادم ضعيف قبل التصحيح والاحتواء ومراجعة الطب الشرعي والتشطيب النهائي.
مؤشرات التسوية
المؤشرات التالية تأتي منمؤشرات الصيادةنشرت مع تقرير الحادث. يجب على فرق الأمان البحث في نقاط النهاية وجذور الويب وقياس EDR عن بعد ومنصات السجل والنسخ الاحتياطية للعناصر المطابقة.
| يكتب | مؤشر | وصف |
|---|---|---|
| شا-256 | bd74a00f4d2ec3bf50d13ddf324bb368b2464d547abd0c572ef5e2f77943a920 | webshell إخفاء المعلومات، UA4fp7R.aspx |
| شا-256 | 40859ede262098086962ab00c89f02452aa9941c88c7f4ac002db166179980c6 | webshell إخفاء المعلومات، 03Fl3i.aspx |
| شا-256 | f63d293e117cae1d0a6c24359fc1361a9dc48178049cc6491051b09268c8c39c | webshell لإخفاء المعلومات، WRBYTR5750images.aspx وMRBTPS5754images.aspx |
| شا-256 | 94cd18f3f030fcc9b259dc410b17ea72a1f9800ee654f8e0f07a87bb9443b593 | ملف دفعي للتهرب من الدفاع والتعداد، i.bat |
| شا-256 | 793768ce4fadab044c7502ea5ec4d8e1569283f289dfd73419e119f32d56d0f3 | PHP ويبشيل، jT1Ds.php |
| شا-256 | f0ff36ecdc843351913dbfbd9122b62563894936ff64215a7a2f89181ebdb57f | ويبشيل، RG0eQV6.php |
| خيط | قطعة واحدة | تم العثور على سلسلة العلامات في أغطية الويب ذات الصلة |
كيف يمكن للمنظمات الحد من المخاطر
يجب على فرق الأمن التعامل مع ضعف الدفاع كعلامة تحذير رئيسية. عندما يقوم أحد المهاجمين بتعطيل أدوات التسجيل أو الأمان، فقد يكون الحادث قد تجاوز بالفعل نشاط webshell البسيط.
يجب على الفرق مراقبة التغييرات المشبوهةتفضيلات Microsoft Defenderوتوقف الخدمة بشكل غير متوقع ووكلاء التسجيل المحذوفين وإعدادات مصحح الأخطاء غير العادية وسجلات الأحداث التي تم مسحها. غالبًا ما تظهر هذه التغييرات قبل سرقة بيانات الاعتماد أو برامج الفدية أو الحركة الجانبية.
يجب على المؤسسات أيضًا الاحتفاظ بالسجلات وإعادة توجيهها خارج المضيف المخترق. يمكن أن يختفي سجل أحداث Windows المحلي بسرعة إذا حصل المهاجم على حق الوصول على مستوى المسؤول.
- تصحيح تطبيقات الويب والخوادم التي تواجه الإنترنت بسرعة
- احتفظ بالخوادم العامة خلف جدار الحماية أو VPN عندما لا يكون الوصول المباشر مطلوبًا
- إعادة توجيه سجلات Windows وIIS والأمان إلى نظام منفصل
- شاشةمجموعة أحداث Sysmonللفجوات أو التوقف المفاجئ
- تنبيه بشأن النشاط المعين لميتري ATT&CK T1685
- يؤكدWDigest تخزين بيانات الاعتماديظل معطلاً عند الاقتضاء
- مراجعة الاكتشافات لميتري ATT&CK T1003سلوك الإغراق بيانات الاعتماد
- الحفاظ على اختبارهاسياسة الوافالتطبيقات الويب المكشوفة
لماذا يهم هذا الحادث
يوضح هذا الهجوم كيف تعتمد سرقة بيانات الاعتماد غالبًا على فجوات الرؤية السابقة. لفتت مرحلة ميميكاتز الانتباه، لكن القصة الأكبر كانت محاولة المهاجم تفكيك الدفاعات أولاً.
تسلط هذه الحالة الضوء أيضًا على خطأ شائع في الاستجابة. يمكن أن تؤدي إعادة الخادم إلى الإنترنت قبل انتهاء عملية المعالجة إلى منح نفس المهاجم فرصة أخرى لمواصلة العملية.
بالنسبة للمدافعين، الدرس مباشر. لا تبحث فقط عن أدوات تفريغ بيانات الاعتماد. ابحث عن الصمت الذي يخلقه المهاجمون قبل ظهور تلك الأدوات.
التعليمات
ما الذي قام المتسللون بتعطيله قبل استخدام Mimikatz؟
استهدف المهاجمون Microsoft Defender وSysmon وFilebeat وأدوات أمان نقطة النهاية وتسجيل IIS وحماية ModSecurity WAF وسجلات أحداث Windows قبل استخدام أدوات تفريغ بيانات الاعتماد ذات الصلة بـ Mimikatz.
كيف بدأ الهجوم؟
بدأ الحادث بنشاط تعداد مشبوه على خادم ويب مخترق. عثر المحققون على غلاف ويب ASPX مخفي في دليل الصور على الخادم.
لماذا يعد تعطيل Sysmon أمرًا خطيرًا أثناء الهجوم؟
يسجل Sysmon نشاط Windows المهم، بما في ذلك إنشاء العمليات واتصالات الشبكة وتحميل برنامج التشغيل وتغييرات الطابع الزمني للملف. إذا أوقف المهاجمون ذلك، فسيفقد المدافعون بيانات الطب الشرعي وبيانات الكشف المفيدة.
ما هو الدور الذي لعبه WDigest في محاولة التخلص من بيانات الاعتماد؟
قام المهاجم بتعديل الإعدادات المتعلقة بـ WDigest لزيادة خطر تخزين بيانات الاعتماد في الذاكرة. وهذا يمكن أن يجعل تفريغ بيانات الاعتماد أكثر فائدة للمهاجمين إذا حصلوا على امتيازات كافية.
كيف يمكن للمؤسسات اكتشاف هجمات مماثلة في وقت مبكر؟
يجب على المؤسسات مراقبة خدمات الأمان المتوقفة، وتغييرات تفضيلات Defender، وسجلات الأحداث التي تم مسحها، وملفات webshell غير المتوقعة، وإزالة WAF، وتغييرات WDigest، والفجوات في السجلات المعاد توجيهها من الخوادم المهمة.