حمله گسترده Password Spray به Azure CLI؛ بیش از ۸۱ میلیون تلاش ورود و نفوذ به ۷۸ حساب مایکروسافت

پژوهشگران امنیت سایبری از شناسایی یک کمپین گسترده Password Spray علیه Azure CLI مایکروسافت خبر داده‌اند؛ حمله‌ای که طی آن بیش از ۸۱ میلیون تلاش برای ورود به حساب‌های کاربری ثبت شده و دست‌کم ۷۸ حساب متعلق به ۶۴ سازمان با موفقیت مورد نفوذ قرار گرفته‌اند.

بر اساس گزارش شرکت Huntress، این حملات بین ۱۲ تا ۲۶ ژوئن ۲۰۲۶ انجام شده و از محدوده آدرس‌های IPv6 متعلق به شرکت LSHIY LLC (AS32167) منشأ گرفته است. بررسی‌ها نشان می‌دهد مهاجمان از فهرست‌های حاوی نام کاربری و رمزهای عبور افشاشده در نشت‌های اطلاعاتی گذشته استفاده کرده‌اند و هدف‌گیری آن‌ها محدود به صنعت یا سازمان خاصی نبوده است.

آنچه این حمله را متمایز می‌کند، سوءاستفاده از جریان احراز هویت قدیمی Resource Owner Password Credentials (ROPC) است. این روش که در استاندارد OAuth 2.1 منسوخ شده، به مهاجمان امکان داده در برخی سازمان‌ها سیاست‌های Conditional Access را دور بزنند؛ حتی در شرایطی که احراز هویت چندمرحله‌ای (MFA) فعال بوده اما به‌درستی برای Azure CLI پیکربندی نشده است.

بررسی‌ها نشان می‌دهد در بسیاری از سازمان‌های آسیب‌دیده، MFA تنها برای برخی برنامه‌ها، گروه‌های کاربری یا موقعیت‌های جغرافیایی خاص اعمال شده بود. همچنین هشت سازمان هیچ سیاست MFA فعالی نداشتند که این موضوع احتمال موفقیت حملات را افزایش داده است.

Huntress اعلام کرده حجم حملات Credential Spray در میان مشتریان این شرکت طی هفته‌های اخیر بیش از ۱۵۵ برابر افزایش یافته و مهاجمان عمدتاً از رمزهای عبور قدیمی که پس از افشای اطلاعات هرگز تغییر نکرده‌اند، سوءاستفاده می‌کنند.

کارشناسان امنیتی به سازمان‌ها توصیه می‌کنند احراز هویت چندمرحله‌ای را برای تمام کاربران، تمامی سرویس‌های ابری و همه انواع برنامه‌های کلاینت فعال کنند، دسترسی Azure CLI را برای کاربران غیرمدیر محدود سازند، استفاده از ROPC را متوقف کنند و رمزهای عبور قدیمی یا افشاشده را در سریع‌ترین زمان ممکن تغییر دهند.

این کمپین بار دیگر نشان می‌دهد که حتی در صورت استفاده از مکانیزم‌های امنیتی مانند Conditional Access و MFA، پیکربندی نادرست آن‌ها می‌تواند راه را برای مهاجمان جهت دور زدن لایه‌های حفاظتی و دسترسی غیرمجاز به حساب‌های سازمانی هموار کند.