طُعوم الفواتير، وسلاسل الاختصارات، واستبدال برمجيات RAT: الشكل الجديد لتسليم التصيّد

نادراً ما يكون ملف PDF الذي يبدو كأنه فاتورة مجرد ملف PDF في هذه الأيام. في هذه الحملة، يجلس طُعم المستند في مقدمة مسار متعدد المراحل صُمم ليبدو عادياً، ويتحرك بسرعة، ويجعل المدافعين يطاردون مزيجاً متغيراً من الحمولات بدلاً من ملف تنفيذي ثابت واحد.

حقائق سريعة

• الطُعم هو ملف PDF لفاتورة مزيفة.
• تستخدم سلسلة التسليم اختصارات متعددة الطبقات وحِزماً بايثون متنكرة.
• تشمل مجموعة الحمولات AsyncRAT وVenomRAT وXWorm.
• تُعد الأنفاق السريعة من TryCloudflare جزءاً من البنية التحتية.
• ترتبط هذه الأنشطة بهجوم سابق في أغسطس حللته X-Labs.

ما الذي تكشفه السلسلة

الجزء المثير للاهتمام ليس موضوع الفاتورة بحد ذاته، بل الطريقة التي تفصل بها الحملة بين الإقناع والتنفيذ. فالطُعم يجذب الهدف، لكن العمل الحقيقي يحدث عبر اختصارات متعددة الطبقات وحِزم متنكرة، وهو نمط ينسجم مع أساليب التنكر التقليدية وتنفيذ الأوامر من قبل المستخدم. وهذا مهم لأن المدافعين غالباً ما يركزون على أسماء الملفات والامتدادات، بينما يعتمد المهاجم على أن يتبع الضحية المسار الذي توحي به التسمية.

وبمجرد اتباع هذا المسار، يمكن للحملة أن تُسقط أحصنة طروادة شائعة لنظام Windows مثل AsyncRAT وVenomRAT وXWorm. هذه العائلات ليست غرسات مخصصة نادرة، بل هي أدوات عملية للمشغلين يمكن استبدالها عند الحاجة، ما يجعل سلسلة التسليم أهم من أي حمولة منفردة. ومن زاوية دفاعية، هذه مشكلة مألوفة لكنها عنيدة: الواجهة الأمامية تتغير ببطء، بينما يمكن تبديل الواجهة الخلفية كلما أصبحت إحدى العائلات مزعجة أو محجوبة.

ويضيف استخدام الأنفاق السريعة من TryCloudflare طبقة أخرى من الاحتكاك أمام المدافعين. فقد صُممت Quick Tunnels كنقاط نهاية عامة مؤقتة وعشوائية التوليد، ما يجعلها مفيدة في سيناريوهات التجهيز والتمرير. وفي حالات الإساءة، يمكن لهذه البنية التحتية القابلة للاستهلاك أن تقلل الحاجة إلى خادم مكشوف طويل الأمد وتزيد من تعقيد القوائم الحاجبة البسيطة. النفق نفسه ليس الحمولة، لكنه قد يساعد في إخفاء مصدر الحمولة والوجهة التالية لها.

كما أن الإشارة إلى حِزم بايثون متنكرة تستحق المتابعة عن كثب. فهذا الوصف لا يثبت بحد ذاته حدوث اختراق في سلسلة توريد بايثون. وعلى الأرجح، يشير إلى حيل في التغليف أو التسمية تهدف إلى جعل مكوّن خبيث يبدو عادياً. وعملياً، يعني ذلك أن على المدافعين التركيز على السلوك، وسلسلة العمليات، والاتصالات الصادرة، لا على ما إذا كان الملف يبدو مستنداً أو أرشيفاً أو حزمة.

حتى وقت كتابة هذا التقرير، لا تثبت المعلومات العامة بالكامل السبب الجذري التقني، أو النطاق الكامل للمستخدمين المتأثرين، أو ما إذا كانت الأنظمة اللاحقة قد تعرضت للاختراق. وتدعم المعلومات المتاحة تحليلاً للمخاطر، لا إسناداً قاطعاً لمشغل واحد أو سلسلة اختراق مؤكدة.

الخلاصة

الدرس الأوسع هو أن التصيّد الحديث أصبح أكثر نمطية. فالفةورة ليست سوى الخطوة الافتتاحية. وما يهم بعد ذلك هو ما إذا كان الطرف النهائي قادراً على رؤية الاختصار، والتنكر، والنفق، وتسليم الحمولة كقصة واحدة مترابطة. وعندما تصطف هذه الأجزاء معاً، فإن أقوى دفاع ليس لافتة تحذير أجمل، بل قياساً عن بُعد يستطيع تتبع السلسلة من النقرة إلى التنفيذ إلى الوصول الشبكي.

TECHCROOK

مفتاح أمان عتادي: جهاز MFA بسيط مقاوم للتصيّد للبريد الإلكتروني والسحابة والحسابات الأخرى. يضيف خطوة مادية إلى عمليات تسجيل الدخول، ما قد يساعد في تقليل تأثير طعوم الفواتير المزيفة وصفحات جمع بيانات الاعتماد.

Scheda Techcrook: Hardware security key

WIKICROOK

• التنكر: تقنية يتم فيها جعل الملفات أو العمليات تبدو مشروعة لإخفاء السلوك الخبيث.
• RAT: اختصار لـ حصان طروادة للوصول عن بُعد، وهو برمجية خبيثة تمنح المشغل تحكماً عن بُعد في نظام مصاب.
• الاختصارات متعددة الطبقات: سلسلة من ملفات الاختصار تُستخدم لإخفاء مسار الإطلاق الحقيقي وتحفيز التنفيذ خطوة بخطوة.
• النفق السريع: نفق عام مؤقت يعرّض الخدمات المحلية عبر عنوان مُولَّد ومواجه للإنترنت.
• سلالة العمليات: العلاقة بين العمليات الرئيسية والفرعية قيد التشغيل، وهي مفيدة لاكتشاف سلاسل التنفيذ المشبوهة.