يجمع كل من ClickFix وEtherHiding بين تنفيذ الأوامر بناءً على تصرفات المستخدم والتكوين القائم على تقنية البلوكشين. يعمل ClickFix على حث المستخدم على تشغيل أمر ما، بينما يتيح EtherHiding للمهاجمين توجيه المراحل اللاحقة من خلال العقود الذكية العامة. ويشكلان معًا مسارًا للتنفيذ يتحدى الكشف القائم على المؤشرات وأساليب التعطيل التقليدية.
الماخذ الرئيسية
- يحول ClickFix سير العمل المألوف المتعلق بالتحقق واستكشاف الأخطاء وإصلاحها إلى مسارات للأوامر التي ينفذها المستخدم
- يفصل «EtherHiding» البنية التحتية للتوصيل القابلة للتصرف عن طبقة التكوين الأكثر ديمومة
- إن حجب نطاق معروف لا يكشف عن الآلية التي توجه المرحلة التالية ولا يعطلها
- يتعين على فرق SOC ربط الأدلة الموجودة عبر عدة أنظمة إدارة الحوادث ( أدوات ) وفرق عمل
- يمكن للمواقع الإلكترونية المخترقة أن تجعل التعليمات الخبيثة تبدو وكأنها صادرة عن كيان رقمي موثوق به
- يُظهر التحقيق الذي أجراه مختبر FileScan.io للتهديدات كيف تمكن الباحثون من تتبع هذه الروابط في سلسلة نشطة
ما الذي يميز «ClickFix» عن عمليات التصيد الاحتيالي التقليدية؟
ClickFix هي تقنية هندسة اجتماعية تُوجه المستخدمين إلى نسخ أمر ما أو لصقه أو تنفيذه بحجة إكمال اختبار CAPTCHA، أو إصلاح مشكلة في المتصفح، أو فتح مستند، أو حل مشكلة تتعلق بالوصول.
يصنف نظام MITRE ATT&CK برنامج «ClickFix» على أنه «نسخ ولصق ضار» (T1204.004). وتعتمد هذه التقنية على قيام المستخدمين بإدخال شفرة مقدمة من المهاجم مباشرةً في واجهة الأوامر أو واجهة البرمجة النصية، بدلاً من فتح مرفق ضار تقليدي.
قد يشبه هذا التفاعل عملية استكشاف الأخطاء وإصلاحها العادية. فمطالبات التحقق وأخطاء المتصفح وعمليات فحص الوصول أمور شائعة على الإنترنت، مما يوفر للمهاجمين سير عمل مألوفًا يمكنهم تقليده. أما بالنسبة للمتخصصين في الدفاع، فغالبًا ما تكون أول إشارة مفيدة هي الإشارة السلوكية. فقد تكون جلسة المتصفح التي يتبعها تنفيذ أمر غير معتاد أكثر أهمية من وجود ملف ضار مألوف.
كيف يغير «EtherHiding» مشكلة البنية التحتية
يستخدم «EtherHiding» العقود الذكية على بلوكشين لتخزين أو استعادة إعدادات يسيطر عليها المهاجم. وهذا يفصل البنية التحتية المرئية للضحية عن الآلية التي تحدد للـ«حملة» وجهتها التالية. ويمكن للمتصدين إغلاق نطاق أو حساب استضافة، لكن السلسلة الأوسع نطاقًا تظل قابلة للاستمرار طالما أن طبقة الإعدادات الخاصة بها قادرة على توجيه حركة المرور نحو بنية تحتية بديلة.
تتبّع التحقيق الذي أجراه مختبر التهديدات التابع لـ FileScan.io سلسلة «ClickFix» نشطة عبر برنامج نصي مُحقن، وعقد ذكي على شبكة Polygon، والبنية التحتية التي تم تحديدها خلال البحث. ويصف تقرير التحقيق العناصر، ونقاط التحويل، وعملية التحقق، والعلاقات التي أثبتت وجود هذا الارتباط.
لا يقتصر ما يواجهه المدافعون على مجرد مجموعة من النطاقات الخبيثة قصيرة العمر. بل يتعين عليهم تحديد العلاقات المستمرة الكامنة وراء البنية التحتية المصممة لتبدو وكأنها قابلة للتخلص منها.
لماذا ينبغي أن يهتم فريقا الأمن والهندسة بهذا الأمر؟
تتسبب كل من «ClickFix» و«EtherHiding» في مشكلة تتعلق بالرؤية قد تتجاوز حدود المؤسسة. ففريق الويب يكتشف برنامجًا نصيًّا غير مصرح به، ونظام أمان النقاط الطرفية يبلغ عن أمر غير معتاد، ونظام « أدوات » الخاص بالشبكة يسجل حركة المرور الصادرة، بينما لا تتعرف معلومات استخبارات التهديدات إلا على جزء واحد من البنية التحتية. وتبدو كل إشارة على حدة غير مكتملة.
المتخصصون في مجال SOC
يحتاج محللو SOC ومكافحو التهديدات إلى سياق كافٍ لتمييز حدث مشبوه منعزل عن مرحلة واحدة ضمن سلسلة أوسع نطاقاً. ولا يكمن التحدي في مجرد العثور على مؤشر آخر، بل في ربط الأنشطة التي تظهر عبر المتصفحات، ونقاط النهاية، والشبكات، والهويات، والبنية التحتية العامة.
كما يواجه قادة مركز العمليات الأمنية (SOC) مشكلة تتعلق بالتنسيق. فقد تكون أجزاء مختلفة من الأدلة في حوزة فرق منفصلة، مما يجعل من الضروري وضع جداول زمنية مشتركة وتحديد المسؤوليات بوضوح أثناء التحقيق.
Software المهندسون وفرق الويب
Software وتكتسب فرق الويب أهمية لأن المواقع الرقمية الشرعية يمكن أن تصبح منصات لتوزيع المحتوى. فالمواقع الإلكترونية المخترقة، والبرامج النصية المُدرجة بشكل غير مشروع، وإساءة استخدام الصلاحيات الإدارية، كلها عوامل يمكن أن تؤدي إلى إدخال تعليمات ضارة داخل بيئة يثق بها المستخدمون بالفعل.
وبالتالي، يمكن أن تصبح بيانات القياس عن بُعد عبر الويب أدلة أمنية. حيث تساعد سجلات الإصدارات وسجلات النشر وتنبيهات سلامة المحتوى والسجلات الإدارية في تحديد وقت ظهور المحتوى المشبوه وعلاقته بنشاط أجهزة النهاية.
ما هي المنظمات التي تواجه عواقب أشد؟
لا تقتصر خدمة «ClickFix» على قطاع واحد، لأنها تستفيد من سلوك المستخدمين بدلاً من الاعتماد على تقنية خاصة بقطاع معين. وتكون العواقب أشد خطورة بالنسبة للمؤسسات التي تحتفظ ببيانات اعتماد قيّمة، أو التي تدير خدمات رقمية موجهة للعملاء الخدمات ، أو التي تتعامل مع معلومات حساسة، أو التي لا تتحمل أي انقطاع في الخدمة.
ويشمل ذلك مشغلي البنية التحتية الحيوية، والوكالات الحكومية، والمنظمات الخاضعة للرقابة، ومزودي البرمجيات، ومزودي الخدمات المُدارة، والشركات التي تضم قوى عاملة كبيرة أو موزعة. وفي هذه القطاعات، يمكن أن يؤدي اختراق الهوية أو نقطة النهاية أو موقع ويب موثوق به إلى تعطيل العمليات، وليس البيانات فحسب.
أنواع الأضرار التي يمكن أن تسببها حملة «ClickFix»
تُعد «ClickFix» تقنية توصيل، لذا فإن تأثيرها النهائي يعتمد على الحمولة وعلى إمكانيات الوصول المتاحة على الجهاز المتأثر. وفي مقال نُشر مؤخرًا على مدونتنا، قمنا بتوثيق حمولات «ClickFix» التي تتراوح بين برامج سرقة البيانات وبرامج الفدية التي تستهدف الشبكة بأكملها، وكيف أن التبني السريع لهذه التقنية من قِبل الدول جعل من الصعب على فرق مراكز العمليات الأمنية (SOC) تصنيفها وتحديد أولوياتها.
ركز تحقيقنا المحدد بشأن FileScan.io على آلية التوزيع. ولم يدّعِ التحقيق أنه تمكن من تحديد مصدر الحمولة النهائية. وبالتالي، فإن البحث لا يثبت أن السلسلة التي تم تتبعها تسببت في هجمات برامج الفدية، أو الاحتيال، أو سرقة بيانات الاعتماد، أو أي نتيجة محددة أخرى. وهذا التمييز مهم. ويُظهر البحث كيف يمكن إعادة بناء سلسلة التوزيع حتى عندما تتغير بنيتها التحتية الظاهرة.
ثلاث ثغرات في الرؤية تغفلها وسائل الدفاع الشائعة
تقسم تقنيتا «ClickFix» و«EtherHiding» الهجوم إلى عدة عناصر تشمل السلوك البشري، والنظام الشرعي أدوات ، ومحتوى الويب، والبنية التحتية العامة، وتغيير الوجهات.
تبرز ثلاث ثغرات في مجال الرؤية:
- قد يبدو نشاط المستخدم وكأنه عملية شرعية لحل المشكلات. فقد يقوم المستخدم طواعيةً بفتح واجهة الأوامر وتنفيذ التعليمات المقدمة.
- يمكن استبدال البنية التحتية المرئية. وقد لا يمثل النطاق المحجوب سوى عنصر مؤقت واحد في السلسلة.
- تحتفظ منظمة الأمن ( أدوات ) بالأدلة غير المرتبطة ببعضها. فقد تُسجل أحداث المتصفح، والعمليات، والشبكة، والهوية، والمواقع الإلكترونية في أنظمة منفصلة.
ما الذي يضيفه التحقيق الذي أجراه موقع FileScan.io؟
تتجاوز أبحاث مختبرات التهديدات التابعة لـ FileScan.io الوصف العام لبرنامجي ClickFix وEtherHiding. فهي توثق كيف انتقل الباحثون من استخدام طُعم فعلي إلى البنية التحتية وأنشطة سلسلة الكتل المرتبطة بها.
يشمل التحليل الكامل ما يلي:
- مكالمة «بلوكشين» مباشرة، تم إجراؤها وتسجيلها في الوقت الفعلي، تتتبع السلسلة حتى الوجهة التي استقرت عليها وقت إجراء البحث
- أكثر من اثني عشر عقدًا ذكيًّا مرتبطًا بمحفظتين منفصلتين، وما يشير إليه هذا النمط بشأن الطريقة التي يدير بها المشغل هذا الأمر
- طُعم واحد ينتحل صفة علامة تجارية معروفة في مجال الذكاء الاصطناعي، لم تكن قد وُثِّقت علنًا قبل إجراء هذا البحث
- باحثان مستقلان توصلا إلى نفس المحفظة والعقد عبر مسارات منفصلة تمامًا
اقرأ التسلسل الفني الكامل والأدلة التي ربطت بين أجزائه المتحركة.
الأسئلة المتداولة
ما هو ClickFix؟
ClickFix هي تقنية هندسة اجتماعية تهدف إلى إقناع المستخدمين بنسخ أمر ضار أو لصقه أو تشغيله، وذلك في إطار ما يُزعم أنه إصلاح أو خطوة تحقق أو شرط للوصول. ويقوم المستخدم ببدء التنفيذ بنفسه، مما قد يجعل طريقة ظهور التهديد تبدو مختلفة عن المرفقات الضارة التقليدية.
ما هو EtherHiding؟
EtherHiding هي تقنية تستخدم العقود الذكية على بلوكشين لتخزين أو استرجاع إعدادات يسيطر عليها المهاجم. ويمكن أن يوفر ذلك للحملة نقطة مرجعية ثابتة في الوقت الذي تتغير فيه النطاقات والخوادم الظاهرة الخاصة بها.
لماذا قد تؤدي البنية التحتية المتغيرة إلى تعقيد عملية الكشف؟
قد تؤدي البنية التحتية المتغيرة باستمرار إلى انتهاء صلاحية المؤشرات الفردية بسرعة. وقد يقوم المدافعون بحجب وجهة معينة دون تحديد العلاقة أو آلية التكوين التي توجه الحملة نحو بديلها.
هل تمكن التحقيق الذي أجرته FileScan.io من تحديد البرمجية الخبيثة النهائية؟
لا. ركز التحقيق على تتبع آلية التسليم والتحقق من صحتها. ولم يزعم الباحثون تحديد مصدر الحمولة النهائية.
كم عدد العقود ذات الصلة التي عثر عليها الباحثون، وما الذي تكشفه هذه العقود عن المشغل؟
أكثر من اثني عشر؛ وهو عدد كافٍ لإظهار مدى امتداد البنية التحتية لهذا المشغل إلى ما وراء العقد الوحيد الذي تمكنا من تتبعه. ويمكن الاطلاع على التفاصيل الكاملة، بما في ذلك تحديد مصدر الأموال على مستوى المحافظ، في المقالة المنشورة على موقع FileScan.io Threat Labs.
