An Analysis of Architectural and Operational Dynamics of Phishkits in the Wild
تحلل هذه الورقة 1,300 من حزم التصيد الاحتيالي (phishkits) الحديثة التي جُمعت بين عامي 2020 و2023 لتكشف أنه على الرغم من تنوعها التشغيلي، فإن غالبيتها تعتمد على مكونات متوقعة وقابلة لإعادة الاستخدام وتفتقر إلى آليات التهرب المتطورة، مما يشير إلى أن الكشف واسع النطاق عن هذه الهجمات أمر ممكن.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل الإنترنت كمدينة ضخمة وصاخبة حيث يحاول الجميع الوصول إلى وجهاتهم. في هذه المدينة، يوجد مخادعون ماكرون ينصبون متاجر وهمية تبدو تماماً مثل البنوك الحقيقية، أو مراكز التواصل الاجتماعي، أو مكاتب البريد الإلكتروني. ينتظرون مرور الناس، آملين أن يدخلوا لتفقد بريدهم أو سحب أموالهم، فقط ليسرقوا مفاتيحهم وأسرارهم. هذا هو عالم "التصيد الاحتيالي" (phishing)، وهو خدعة رقمية موجودة منذ فترة طويلة. ولكن إليك المفاجأة: هؤلاء المخادعون لا يبنون متاجرهم الوهمية عادةً من الصفر، طوبة تلو الأخرى. بدلاً من ذلك، هم يشترون "مجموعات بناء جاهزة" تسمى phishkits. فكر في هذه المجموعات كأنها "مجموعات ليغو لعمليات الاحتيال". أنت تشتري الصندوق، وتجمع القطع معاً، وفجأة—يصبح لديك بنك وهمي مقنع. تأتي هذه المجموعات مع تعليمات خاصة حول كيفية الاختباء من حراس الأمن في المدينة (مثل محركات البحث وبرامج مكافحة الفيروسات) وكيفية إرسال المفاتيح المسروقة سراً إلى الأشرار. إن فهم كيفية عمل هذه المجموعات أمر بالغ الأهمية، لأننا إذا عرفنا كيف تُبنى مجموعات الليغو هذه، يمكننا معرفة كيفية تمييز المباني المزيفة قبل أن يتأذى أي شخص.
دعونا الآن ننتقل إلى ما فعله فريق من الباحثين من جامعة فلوريدا الدولية. لقد قرروا استخدام عدسة مكبرة ضخمة لفحص 1,300 من "مجموعات الليغو الاحتيالية" هذه (phishkits) التي كانت تطفو في الإنترنت بين عامي 2020 و2023. أرادوا معرفة كيف يستخدمها الأشرار، وما هي الحيل التي يستخدمونها للاختباء، وكيف يسرقون البيانات.
إليك ما وجدوه، وهو أمر مفاجئ حقاً: معظم مجموعات الاحتيال هذه مملة للغاية ويمكن التنبؤ بها.
اكتشف الباحثون أنه بينما يكون الأشرار أذكياء، إلا أنهم أيضاً كفؤون. وجدوا أن العديد من هذه المجموعات مبنية باستخدام نفس المخططات بالضبط. الأمر يشبه لو قرر كل مجرم في المدينة بناء بنكه الوهمي باستخدام نفس التعليمات الثلاث من نفس دليل التعليمات. رأى الباحثون أن الأجزاء "الجوهرية" لهذه المجموعات—الأجزاء التي تجعل صفحة تسجيل الدخول الوهمية تبدو حقيقية، والأجزاء التي تخفي الموقع عن الماسحات الأمنية، والأجزاء التي ترسل البيانات المسروقة بعيداً—كانت متطابقة تقريباً عبر مئات المجموعات المختلفة. في الواقع، وجدوا أن 284 من المجموعات (حوالي 21.8%) لم تحاول حتى الاختباء! لقد تركت أبوابها مفتوحة على مصراعيها، مما جعل من السهل جداً على الأنظمة الأمنية رصدها.
وعندما حاول الأشرار الاختباء، استخدموا بعض الحيل القديمة والمعروفة. كانوا يتحققون من هوية زائر موقعهم الوهمي. فإذا بدا الزائر وكأنه حارس أمن، أو روبوت محرك بحث، أو باحث جامعي، فإن المجموعة تقول له: "أوه، أنت لست شخصاً حقيقياً! اذهب بعيداً!" وتظهر له صفحة "خطأ 404" وهمية بدلاً من الموقع الاحتيالي. لقد حظروا ملايين العناوين المحددة، بما في ذلك تلك التابعة لشركات التكنولوجيا الكبرى، والجامعات، وحتى بعض خدمات الـ VPN. ولكن المثير للدهشة هو أنهم كانوا يستخدمون نفس قوائم العناوين المحظورة مراراً وتكراراً. الأمر يشبه استخدام لص لنفس لافتة "ممنوع الدخول" لكل منزل يسرقه.
كما ألقى الباحثون نظرة خلف الستار ليروا كيف يحصل اللصوص على غنائمهم المسروقة. وجدوا أنه بدلاً من استخدام أنفاق سرية معقدة تحت الأرض، كان معظم الأشرار يستخدمون تطبيقات المراسلة الشعبية واليومية (مثل تلغرام) لإرسال كلمات المرور وأرقام بطاقات الائتمان المسروقة. الأمر يشبه لصاً يرسل رسالة نصية لشريكه يقول فيها "لقد حصلت على المفاتيح!" باستخدام تطبيق هاتف عام وعادي. تفاعل الفريق مع روبوتات المراسلة هذه ليروا ما يحدث، ووجدوا آلاف الرسائل التي تحتوي على أرقام بطاقات ائتمان حقيقية ورموز تسجيل دخول. وقد قاموا بإبلاغ شركات البطاقات الائتمانية عن هذه التسريبات بمسؤولية، وقامت الشركات بإلغاء البطاقات النشطة لحماية الضحايا.
إذاً، ما هي الخلاصة الكبرى؟ تشير الورقة البحثية إلى أنه نظراً لاعتماد هؤلاء المحتالين الكبير على مجموعات "النسخ واللصق" الجاهزة، فإن سلوكهم قابل للتنبؤ به بدرجة عالية. هم لا يخترعون طرقاً سحرية جديدة للاختباء كل يوم؛ بل يعيدون استخدام نفس الحيل القديمة ونفس الكود القديم. وهذا في الواقع خبر جيد للمدافعين. إذا كان الأشرار يستخدمون جميعاً نفس تعليمات الليغو، يمكن للمدافعين بناء "كاشفات احتيال" أفضل تبحث عن تلك الأنماط المحددة. ويخلص الباحثون إلى أنه بينما لا يزال التصيد الاحتيالي يمثل تهديداً كبيراً، فإن حقيقة أن الكثير من هذه الهجمات تُبنى من نفس الأجزاء القابلة للتنبؤ تجعل من السهل الإمساك بهم أثناء تنفيذ العملية، بشرط أن نتمكن من بناء أدوات ذكية بما يكفي لرصد الأنماط المألوفة وسط الفوضى.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.