تشريح عدة تصيد احتيالي: ماذا يحدث خلف الصفحة المزيفة

نادرًا ما تُكتب صفحة تصيد احتيالي يدويًا. في الغالبية العظمى من الحالات، تخرج من أرشيف جاهز، أي عدة تصيد احتيالي: ملف .zip يُنزَّل ويُوضع على خادم مستأجر أو مُخترق، ويصبح جاهزًا للعمل خلال دقائق. إليك ما يختبئ تحت الغطاء، من الواجهة إلى البيانات المسروقة.

مجموعة أدوات تُركَّب في خمس دقائق

القطعة الأولى في العدة هي الواجهة: نسخة من كود HTML وCSS وJavaScript لموقع حقيقي (بنك، خدمة مراسلة، إدارة ضريبية…). الحصول على هذا الكود أمر بسيط، إذ يسمح أي متصفح بحفظه. مهمة العدة هي جعله عاملًا: تُربط حقول الإدخال بنص برمجي يلتقط كل ما يُكتب فيها، بدلًا من التحقق من كلمة المرور لدى الخدمة الحقيقية.

للبقاء لفترة أطول، غالبًا ما تُخفي العدة طريقة عملها. النص البرمجي الذي يلتقط البيانات غالبًا ما يكون مُشفَّرًا بترميز (بصيغة Base64 مثلًا)، مما يجعله غير مقروء للوهلة الأولى، وأصعب على زاحف بحث أو ماسح أمني آلي يبحث في الكود عن كلمات مفتاحية معروفة. هذا ليس تشفيرًا قويًا: أي شخص يأخذ وقته لفك ترميز النص البرمجي يستطيع ذلك دون صعوبة. إنها في الأساس وسيلة لكسب بضع ساعات أو أيام قبل أن يتم اكتشافها.

ما تتحقق منه الصفحة أثناء كتابة الضحية

عدة مصممة جيدًا لا تكتفي بتسجيل أي شيء. إنها تتحقق من الإدخال مباشرة، تمامًا كما يفعل الموقع الحقيقي، لسببين: إعطاء وهم استمارة جادة، وقبل كل شيء عدم إغراق المهاجم ببيانات غير قابلة للاستخدام.

• تنسيق البريد الإلكتروني يُتحقق منه حرفًا بحرف (وجود «@»، نطاق صالح…).
• رقم البطاقة المصرفية يمر عبر خوارزمية لون (Luhn): صيغة رياضية بسيطة تتحقق مما إذا كانت سلسلة من ستة عشر رقمًا يمكن أن تُطابق بطاقة حقيقية، دون معرفة أي شيء عن البطاقة نفسها. رقم مُختلَق عشوائيًا يفشل في هذا الاختبار في الغالب؛ فترفض العدة الإدخال وتطلب البطاقة مجددًا، مع إعطاء انطباع بموقع صارم.

الجزء الأكثر فعالية، والأكثر تكتمًا، يتعلق بالمصادقة متعددة العوامل (MFA / 2FA). تعرض العديد من العدد الحديثة، فور إدخال كلمة المرور، شاشة تحميل من نوع «جارٍ التحقق…». وفي الوقت نفسه، خلف الكواليس، يسجّل المهاجم دخوله مباشرة إلى الموقع الحقيقي ببيانات الاعتماد التي سُرقت للتو. يرسل الموقع الحقيقي حينها رمزًا حقيقيًا عبر الرسائل النصية إلى الضحية، الذي يكتبه في الصفحة المزيفة بكل ثقة: تنقله العدة فورًا إلى المهاجم، الذي يُدخله بدوره في الموقع الحقيقي. لا ترى الضحية سوى شاشة تدور لفترة أطول قليلًا؛ أما المهاجم فقد حصل للتو على وصول كامل، بما في ذلك الرمز أحادي الاستخدام.

تبقى هذه الآلية تدبيرًا يدويًا، يجب على المهاجم التحقق منه بنفسه. توجد نسخ أكثر أتمتة بكثير، حيث يُدرج خادم الصفحة المزيفة بين الضحية والموقع الحقيقي دون أي تدخل بشري على الإطلاق: هذا هو موضوع دليل AiTM: عندما يسرق التصيد الاحتيالي جلستك، لا كلمة مرورك فقط.

إلى أين تذهب البيانات فعليًا: ثلاثة أبواب للخروج

بعد التحقق منها، يجب أن تخرج البيانات من الخادم لتصل إلى المهاجم. تتكرر ثلاث قنوات باستمرار في العدد الحالية:

• قنوات ويب هوك على تيليجرام أو ديسكورد: الطريقة الأكثر استخدامًا اليوم. ترسل العدة طلبًا بسيطًا إلى قناة خاصة على تيليجرام أو ديسكورد، ويظهر كل بيان اعتماد مسروق فورًا في محادثة، على هاتف المهاجم. سريعة، مجانية، وصعبة الاكتشاف دون النظر إلى الكود المصدري للصفحة.
• إرسال رسائل البريد الإلكتروني: تستخدم العدة دالة mail() في لغة PHP لنقل كل إدخال في شكل تقرير نصي صغير، إلى عنوان يختاره المهاجم.
• ملفات السجل المحلية: أكثر بدائية، تكتب العدة كل بيانات مسروقة في ملف مخفي (.txt أو .csv) مباشرة على الخادم، يأتي المهاجم لاحقًا لاسترجاعه.

هذه القنوات الثلاث لا تُقصي بعضها بعضًا: تجمع العديد من العدد بين ويب هوك فوري لإخطار المهاجم على الفور، وملف احتياطي في حال توقف ويب هوك عن العمل.

سقوط الستار: إعادة التوجيه والتنظيف

بمجرد رحيل البيانات، لا تتوقف الصفحة المزيفة فجأة: فهي تُعيد توجيه الضحية إلى صفحة تسجيل الدخول الحقيقية للخدمة المُنتحَلة (مثل login.live.com)، غالبًا مع رسالة خطأ غير ملفتة. الأثر المطلوب دقيق: تعتقد الضحية أنها أخطأت في كتابة كلمة المرور، فتُعيد كتابة بيانات اعتمادها في الموقع الحقيقي، وتسجل الدخول بشكل طبيعي… دون أن تشك في شيء.

تذهب بعض العدد إلى أبعد من ذلك وتحمي نفسها بعد أول عملية ناجحة: مسح السجلات التي قد تكشف طريقة عملها، أو حظر عنوان IP الخاص بالضحية بحيث تصادف زيارة ثانية (مثلًا زيارة باحث يعود لفحص الصفحة) صفحة فارغة أو خطأ، بدلًا من الفخ الكامل.

كيف ينهار تدبير محكم إلى هذا الحد في النهاية

رغم كل هذا الحرص، تترك العدة آثارًا يمكن استغلالها. الأكثر شيوعًا هو خطأ في إعدادات الخادم: دليل مفتوح (directory listing)، يسمح لأي شخص بتصفح مجلد الموقع، وبالتالي تنزيل أرشيف .zip الخاص بالعدة كما وُضع تمامًا. بمجرد أن يصبح هذا الأرشيف في متناول اليد، غالبًا ما يجد الباحث، بنص واضح أو بترميز بسيط بالكاد، بيانات الاعتماد التي تهم فعلًا: رمز (توكن) بوت تيليجرام، معرّف قناة ديسكورد، أو عنوان البريد الإلكتروني المُستقبِل.

لا تخص بيانات الاعتماد هذه صفحة واحدة فقط: غالبًا ما يُعاد استخدام رمز البوت نفسه في عدة حملات لنفس المهاجم. لذا فإن الإبلاغ عنه إلى تيليجرام أو ديسكورد يمكن أن يقطع دفعة واحدة سلسلة كاملة من المواقع، بما يتجاوز بكثير الموقع الذي تم العثور عليه. إنه نفس المبدأ المتعلق ببنية إرسال البريد الإلكتروني، المُفصَّل في دليل تحليل تصيد احتيالي: من الرسالة إلى البنية التحتية: كل عنصر يُعثر عليه هو أيضًا رافعة، ويظل الخادم الذي يستضيف العدة قابلًا للإبلاغ عنه لدى مزود استضافته مثل أي صفحة تصيد احتيالي أخرى (راجع العثور على عنوان الإبلاغ الصحيح لدى مزود استضافة).

قبل الوصول إلى هذه المرحلة، يبقى ردّ الفعل الأول هو التحقق من الرابط الذي أدى إلى الصفحة. بلصق الرسالة المشبوهة في Baitback، تتبع الأداة عمليات إعادة التوجيه، وتحدد خادم الإرسال ومزود استضافته، وتُعِدّ مباشرة رسائل الإبلاغ، دون الحاجة إلى البحث بنفسك في كود العدة.