EvilTokens: تقنية التصيّد الشبحي التي تخترق حماية البريد الإلكتروني

مقدمة

منذ فبراير 2026 تنتشر حملة تصيّد باسم EvilTokens استطاعت اختراق عشرات المؤسسات دون أن تسرق كلمة مرور واحدة، ودون أن تُطلق أي تنبيه من أنظمة المصادقة الثنائية (MFA). السبب أن الحملة لا تستدرج الضحية لصفحة تسجيل دخول مزيّفة كما هو معتاد، بل تدفعه لإتمام عملية دخول حقيقية 100% على موقع Microsoft الرسمي، ثم تسرق منه رمز وصول (Access Token) صالحًا بدل كلمة المرور.

الجزء الأخطر تقنيًا هو الأسلوب الذي يوصل به المهاجمون الصفحة الخبيثة نفسها إلى الضحية، وهو ما تسميه تقارير التهديدات “Ghost Phishing” أو التصيّد الشبحي: كود الصفحة يصل مشفّرًا بالكامل، ويبقى بلا أي محتوى ضار ظاهر إلى أن يُفكّ تشفيره داخل متصفح الضحية نفسه. أدوات فحص البريد وبوابات الأمان (Email Security Gateways) — وهي الأنظمة التي تفحص الروابط والمرفقات قبل وصولها للمستخدم — تتفحص عادة الصفحة كما هي دون تنفيذ الجافاسكربت بداخلها، فلا ترى شيئًا مريبًا لأن المحتوى الضار غير موجود بعد.

خلفية عن الحملة والتقنية

EvilTokens ليست فيروسًا أو أداة يستخدمها مهاجم واحد، بل هي عدّة تصيّد جاهزة تُباع كخدمة (Phishing-as-a-Service)، أي أن مطوّريها يبيعون الوصول إليها لأي شخص يريد شن حملة تصيّد دون أن يكتب سطر كود واحد. وثّقتها لأول مرة شركة الأمن الفرنسية Sekoia في مارس 2026، وأكدت مايكروسوفت في أبريل أن حملات التصيّد بهذه الطريقة كانت تخترق مئات المؤسسات يوميًا، بمعدل 10 إلى 15 حملة منفصلة كل 24 ساعة. وبحسب موقع The Register، تُسوَّق العدّة علنًا على تيليجرام كاشتراك شهري بسعر يتراوح بين 600 و1500 دولار، ما يخفض حاجز الدخول أمام مهاجمين أقل خبرة.

آلية العدّة الأساسية تُعرف باسم Device Code Phishing (التصيّد عبر رمز الجهاز)، وهي استغلال لخاصية شرعية في مايكروسوفت اسمها OAuth 2.0 Device Authorization Grant. هذه الخاصية صُممت أصلًا لأجهزة لا تملك لوحة مفاتيح مريحة — مثل شاشات التلفاز الذكية أو الطابعات — حيث يفتح المستخدم صفحة تسجيل الدخول الحقيقية على هاتفه أو حاسوبه، ويُدخل رمزًا قصيرًا لربط الجهاز بحسابه. المهاجم في حملة EvilTokens يرسل بريدًا يوهم الضحية بأنه بحاجة لتفعيل جهاز أو تطبيق، فيدخل الضحية فعلًا على صفحة مايكروسوفت الرسمية ويكتب الرمز الذي يزوّده به المهاجم — لكن “الجهاز” الذي يمنحه الصلاحية هو في الحقيقة جلسة المهاجم. بمجرد موافقة الضحية، يحصل المهاجم على رمز وصول ورمز تحديث (Access Token / Refresh Token) صالحين، وقد استوفى المستخدم شرط المصادقة الثنائية بنفسه أثناء الدخول الحقيقي، فتُتجاوز الحماية بالكامل دون كسرها.

بحسب تحليل من شركة Cisco Talos حول لوحة تحكم مرتبطة بالعدّة باسم “ARToken”، لا توجد حتى الآن أدلة قاطعة تنسب EvilTokens لجهة تهديد واحدة معروفة؛ الباحث مايكل كيلي من Talos وصفها بأنها أقرب لنسخة معدّلة يستخدمها أحد الشركاء (Affiliate) ضمن نموذج البيع كخدمة، لا عملية منظمة تديرها مجموعة واحدة.

التفاصيل التقنية والسلوكية

هنا يكمن جوهر تسمية “الشبح”: صفحة التصيّد لا تصل كملف HTML عادي يمكن قراءته، بل تصل ككتلة بيانات مشفّرة بخوارزمية AES-256-GCM. عند فتح الرابط، لا يحمّل المتصفح صفحة تصيّد جاهزة، بل يحمّل هذه الكتلة المشفّرة إلى جانب سكربت جافاسكربت صغير. هذا السكربت يستخدم Web Crypto API — وهي واجهة تشفير مدمجة في كل المتصفحات الحديثة — ليقوم بفك التشفير مباشرة داخل جهاز الضحية: يحوّل النص المشفّر من صيغة Base64 إلى بايتات، يستورد مفتاح فك التشفير، ثم يفك المحتوى باستخدام المفتاح ومتجه التهيئة (IV) المرفقين. بعد فك التشفير بنجاح، يستبدل السكربت محتوى الصفحة بالكامل بصفحة التصيّد الحقيقية التي تحاكي واجهة تسجيل دخول مايكروسوفت.

في بعض العينات التي حُلّلت، يُلاحظ أن الخادم (عبر Cloudflare Worker) يُصدر مفتاح تشفير ومتجه IV مختلفين مع كل طلب، بحيث لا يتكرر نفس المحتوى المشفّر مرتين — ما يجعل مطابقة التوقيعات الثابتة (Signature Matching) عديمة الجدوى تقريبًا.

النتيجة أن أي أداة فحص “ثابت” — تعني أداة تقرأ كود الصفحة كما هو مكتوب دون تشغيل الجافاسكربت بداخلها فعليًا داخل متصفح حقيقي — لن ترى شيئًا سوى نص عشوائي غير مفهوم لا يحمل أي مؤشر تصيّد. المحتوى الضار الفعلي لا “يولد” إلا بعد أن يفتح الضحية الرابط بنفسه ويُشغّل المتصفح كودًا يفك التشفير، وهي لحظة تقع خارج نطاق رؤية بوابات أمان البريد التي تفحص الروابط قبل الإرسال أو عند وصولها.

التأثير والأهداف

بحسب المصادر التي رصدت الحملة، تتركز الإصابات في الولايات المتحدة وأوروبا، وتشمل القطاعات الأكثر استهدافًا: التقنية، التصنيع، التعليم، البنوك، الاستشارات، الخدمات المالية، إضافة إلى مزوّدي خدمات الأمن المُدار (MSSPs) — وهو استهداف لافت لأن اختراق مزوّد أمن واحد قد يفتح الباب لعملائه جميعًا.

بما أن الهجوم لا يسرق كلمة مرور بل رمز وصول فعّالًا، يحصل المهاجم مباشرة على صلاحية الدخول إلى البريد الإلكتروني وملفات SharePoint المرتبطة بحساب Microsoft 365 للضحية، دون أن يُطلب منه إدخال كلمة المرور مجددًا أو اجتياز تحقق إضافي. تشير تقارير من Sekoia إلى أن مرحلة لاحقة من العدّة تستخدم نماذج ذكاء اصطناعي (من بينها نماذج Llama مستضافة عبر Groq، ونموذج GPT-4o-mini للترجمة) لتحليل صناديق البريد المخترقة وتقييم قيمتها المالية، ثم توليد رسائل احتيال تجاري عبر البريد (BEC) مخصصة لكل ضحية — ما يحوّل الاختراق الأولي إلى عملية احتيال مالي موجّهة بدقة أعلى من الرسائل العشوائية التقليدية.

من المهم التوضيح أن هذه التفاصيل تعتمد على ما نشرته الجهات الراصدة للحملة (Sekoia، مايكروسوفت، Cisco Talos، ومصادر أخرى)، وأن حجم الإصابات الدقيق أو عدد المؤسسات المخترقة فعليًا يبقى تقديريًا ويختلف من مصدر لآخر.

التوصيات الدفاعية

المصادر التي غطّت هذه التقنية تتفق على أن أكثر إجراء فعّال هو تعطيل مصادقة رمز الجهاز (Device Code Authentication) لمن لا يحتاجها فعليًا:

• في Microsoft Entra ID (المعروف سابقًا بـ Azure AD)، إنشاء سياسة Conditional Access تمنع طلبات المصادقة من نوع Device Code لجميع المستخدمين، باستثناء من يحتاجها فعلًا لتشغيل أجهزة بلا لوحة مفاتيح (طابعات، شاشات ذكية، أجهزة إنترنت الأشياء المُدارة).
• مراقبة سجلات تسجيل الدخول (Sign-in Logs) في Entra ID لرصد أي مصادقة عبر Device Code من عناوين IP أو مواقع غير معتادة للمؤسسة.
• تفعيل تنبيهات عند ظهور طلبات تفويض جهاز (Device Authorization) بمعرّف عميل (Client ID) غير معروف أو جديد.
• توعية الموظفين بأن التصيّد الحديث لا يعتمد بالضرورة على كلمة مرور مزيّفة — فقد يُطلب منهم إدخال رمز حقيقي على صفحة مايكروسوفت الحقيقية، لكن لتفعيل جهاز المهاجم لا جهازهم هم.
• عند الاشتباه بحادثة: مراجعة سجلات الدخول، إلغاء الجلسات النشطة وإبطال رموز التحديث (Refresh Tokens)، فحص قواعد صندوق الوارد بحثًا عن قواعد إعادة توجيه مشبوهة أضافها المهاجم، وتعطيل الحساب مؤقتًا لحين التأكد.

من الناحية التقنية البحتة لصفحات “الشبح” نفسها، فإن الاعتماد على أدوات فحص ديناميكي تُشغّل الصفحة فعليًا داخل متصفح مُحاكى (Sandbox يُنفّذ الجافاسكربت ويُصيّر الصفحة كما يراها المستخدم الحقيقي) أجدى بكثير من الفحص الثابت للرابط أو لكود HTML الخام، لأن المحتوى الضار في هذه الحملة ببساطة غير موجود قبل التنفيذ.

المصدر

المقال الأصلي: New Ghost Phishing Wave Is Breaking Traditional Email Security