هجوم تصيد احتيالي عبر واتساب يستهدف مستخدميه بهجمات خبيثة عبر مستندات وهمية

كيف يعمل الهجوم: من رسالة مزيفة إلى التحكم الكامل في الجهاز

بدأت حملة تصيد احتيالي مستمرة تستهدف مستخدمي واتساب في دول متعددة باستخدام رسائل تبدو وكأنها مستندات أعمال مشروعة. يرسل المهاجمون رسائل من حسابات واتساب مخترقة تحتوي على ملفات VBScript مخفية، غالبًا ما تحمل أسماء مثل "تقرير مالي" أو "إشعار حساب" أو "فاتورة مالية". بمجرد أن ينقر الضحية على هذه الملفات، تبدأ سلسلة من العمليات الخبيثة التي تنتهي بتثبيت برنامجManageEngine Endpoint Central، وهو أداة إدارة أنظمة قانونية يستخدمها مسؤولو تكنولوجيا المعلومات لإدارة الأجهزة عن بعد.

عند فتح ملف VBScript على نظام ويندوز، يقوم الكود بجلب نصوص إضافية من خوادم المهاجمين، والتي تقوم بدورها بتعديل إعدادات "UAC" (تحكم حساب المستخدم) عبر تعديل سجلات النظام. بعد ذلك، يتم تحميل أرشيف ZIP يحتوي على برنامج ManageEngine Endpoint Central، الذي يتم تثبيته تلقائيًا في الخلفية. يتم إعداد البرنامج ليتصل بخوادم الإدارة الخاضعة لسيطرة المهاجمين، مما يمنحهم وصولًا كاملاً إلى جهاز الضحية لإجراء أي عملية، بما في ذلك سرقة البيانات أو تثبيتさらにのマルウェア.

مدى انتشار الحملة: دول متعددة تحت التهديد

وفقًا لبياناتテレメトリ من شركة كاسبرسكي، انتشرت هذه الحملة في دول مثل البرازيل والهند والمكسيك وسنغافورة والمملكة المتحدة وإسبانيا وتايوان وأستراليا وروسيا وفيتنام وماليزيا. يشير الانتشار الجغرافي الواسع إلى أن المهاجمين يستهدفون مستخدمي واتساب على مستوى عالمي، مما يزيد من خطورة هذه الحملة. filenames are also localized in multiple languages, further confirming the campaign’s global reach.

يعتمد المهاجمون على حسابات واتساب مخترقة لإرسال الرسائل الضارة إلى جهات الاتصال الخاصة بالمستخدمين، مما يجعل الرسائل تبدو وكأنها واردة من مصادر موثوقة. على الرغم من عدم تحديد الطريقة الدقيقة التي تم من خلالها اختراق هذه الحسابات، إلا أن الأدلة تشير إلى أن المهاجمين نجحوا في الوصول إلى عدة حسابات واتساب واستخدموها لتوزيع ملفات VBScript الخبيثة على جهات الاتصال الخاصة بالمستخدمين المخترقين.

تفاصيل تقنية: كيف تخترق البرمجية دفاعات ويندوز

عند فتح ملف VBScript عبر تطبيق واتساب على سطح المكتب، يتم تنفيذه تلقائيًا عبر "Windows Script Host" (wscript.exe) دون الحاجة إلى تحميله. أما إذا تم تسليم الملف عبر واتساب ويب، فيجب على الضحية تنزيله ثم فتحه يدويًا، مما يزيد من فرصة اكتشاف النشاط المشبوه. بمجرد التنفيذ، يبدأ VBScript في جلب نصوص إضافية من خوادم المهاجمين، والتي تعمل على تعطيل حماية UAC من خلال تعديل سجلات النظام، مما يسمح بتثبيت البرامج دون موافقة صريحة من المستخدم.

بعد تعطيل UAC، يتم تحميل أرشيف ZIP يحتوي على برنامج ManageEngine Endpoint Central، الذي يتم تثبيته في الخلفية. يتم إعداد البرنامج ليتصل بخوادم إدارة خاضعة لسيطرة المهاجمين، مما يمنحهم وصولًا كاملاً إلى جهاز الضحية. هذا الأسلوب يسمح للمهاجمين بإجراء أي عملية على الجهاز، بما في ذلك سرقة البيانات الحساسة أو تثبيت برامج خبيثة إضافية.

##ManageEngine Endpoint Central: أداة قانونية تُساء استخدامها

ManageEngine Endpoint Central هو برنامج قانوني يستخدم على نطاق واسع من قبل مسؤولو تكنولوجيا المعلومات لإدارة الأنظمة عن بعد. ومع ذلك، يستغل المهاجمون هذه الأداة المشروعة لأغراض خبيثة، حيث يتم إعدادها ليتصل بخوادم خاضعة لسيطرتهم. بمجرد التثبيت، يمكن للمهاجمين التحكم الكامل في الجهاز، بما في ذلك الوصول إلى الملفات والبيانات الحساسة، وتنفيذ الأوامر، وحتى تثبيت برامج خبيثة إضافية.

هذا الأسلوب في استغلال الأدوات القانونية لشن هجمات خبيثة ليس بجديد، لكنه يبرز مدى خطورة هذه الحملات، حيث يصعب على برامج الحماية اكتشافها نظرًا لاستخدام أدوات مشروعة. لذلك، من المهم أن يكون المستخدمون على دراية بالمخاطر المحتملة لهذه الأدوات وكيفية حماية أنفسهم من مثل هذه الهجمات.

كيف تحمي نفسك من هذا الهجوم؟

أول خطوة لحماية نفسك من هذا الهجوم هي الحذر الشديد عند تلقي رسائل تحتوي على مستندات أو ملفات من جهات اتصال معروفة. حتى إذا بدت الرسالة طبيعية، يجب عليك التحقق من صحتها عبر وسائل أخرى، مثل الاتصال بالهاتف أو sending a separate message to confirm the sender's identity. لا تقم بتنزيل أو فتح أي ملفات مشبوهة، حتى إذا كانت تحمل أسماء تبدو مشروعة مثل "تقرير مالي" أو "فاتورة".

ثانيًا، تأكد من تحديث نظام التشغيل والبرامج installed على جهازك، بما في ذلك متصفحات الويب وحماية مكافحة الفيروسات. تحديثات ويندوز غالبًا ما تشمل إصلاحات لثغرات أمنية يمكن استغلالها من قبل المهاجمين. بالإضافة إلى ذلك، قم بتمكين حماية UAC على جهازك، حيث تساعد هذه الميزة في منع تثبيت البرامج دون موافقة المستخدم.

ثالثًا، استخدم برامج حماية قوية مثل كاسبرسكي أو نورتون أوBitdefender، والتي يمكنها اكتشاف وحظر الملفات الخبيثة قبل أن تسبب أي ضرر. كما يمكنك استخدام أدوات مثل "Windows Defender" الذي يأتي مع ويندوز، وتأكد من تحديثه بانتظام. بالإضافة إلى ذلك، قم بإجراء فحوصات أمنية دورية لجهازك لاكتشاف أي برامج خبيثة محتملة.

ما الذي يجب أن تراقبه بعد ذلك؟

نظرًا لانتشار هذه الحملة في دول متعددة واستخدامها لأسماء مستنداتLocalized languages، فمن المتوقع أن يستمر المهاجمون في استهداف مستخدمي واتساب في المستقبل. لذلك، يجب على المستخدمين أن يكونوا على دراية بالمخاطر المحتملة وأن يتخذوا الإجراءات اللازمة لحماية أنفسهم. بالإضافة إلى ذلك، من المتوقع أن تقوم شركات الحماية بإصدار تحديثات جديدة لاكتشاف هذه الهجمات ومنعها، لذا يجب على المستخدمين تحديث برامجهم بانتظام.

كما يجب على مسؤولي تكنولوجيا المعلومات في المؤسسات أن يكونوا على دراية بهذه الحملة وأن يتخذوا الإجراءات اللازمة لحماية أنظمة مؤسستهم. يمكنهم استخدام أدوات إدارة الأنظمة مثل ManageEngine Endpoint Central بطريقة آمنة، مع الحرص على عدم السماح لأي خوادم خارجية بالاتصال بها. بالإضافة إلى ذلك، يجب عليهم تثقيف الموظفين حول مخاطر التصيد الاحتيالي وكيفية التعرف على الرسائل المشبوهة.

تأثير الهجوم على الخصوصية والأمان الشخصي

لا يقتصر خطر هذا الهجوم على سرقة البيانات الحساسة فحسب، بل يمتد إلى التحكم الكامل في جهاز الضحية، مما يسمح للمهاجمين بسرقة البيانات الشخصية، أو حتى استخدام الجهاز كجزء من شبكة бот نت. بالإضافة إلى ذلك، يمكن للمهاجمين الوصول إلى حسابات أخرى مرتبطة بالجهاز، مثل حسابات البريد الإلكتروني أو وسائل التواصل الاجتماعي، مما يزيد من خطورة الهجوم.

لذلك، من المهم أن يكون المستخدمون على دراية بالمخاطر المحتملة لهذه الهجمات وأن يتخذوا الإجراءات اللازمة لحماية أنفسهم. كما يجب على الشركات والمؤسسات أن تدرك خطورة هذه الحملات وأن تتخذ الإجراءات اللازمة لحماية بياناتها وأنظمتها من مثل هذه الهجمات.

الخلاصة: الحذر هو أفضل دفاع

في ظل تزايد الهجمات الخبيثة عبر منصات التواصل الاجتماعي، أصبح من الضروري أن يكون المستخدمون أكثر حذرًا عند التعامل مع الرسائل والمستندات الواردة من جهات اتصال معروفة. هذا الهجوم الأخير عبر واتساب يوضح كيف يمكن للمهاجمين استغلال ثغرات في أنظمة الأمن لشن هجمات خبيثة، مما يستدعي اتخاذ إجراءات وقائية قوية لحماية البيانات الشخصية والأجهزة.

من خلال تحديث أنظمة التشغيل، واستخدام برامج حماية قوية، وتمكين حماية UAC، والحذر عند فتح الملفات المشبوهة، يمكن للمستخدمين تقليل خطر التعرض لهذه الهجمات. كما يجب على مسؤولي تكنولوجيا المعلومات في المؤسسات أن يكونوا على دراية بالمخاطر المحتملة وأن يتخذوا الإجراءات اللازمة لحماية أنظمة مؤسستهم. في النهاية، الحذر هو أفضل دفاع ضد مثل هذه الهجمات الخبيثة.