كيف استُخدمت دعوة إلى مؤتمر تشفير مزيف لاستهداف باحثي Black Hat وDEF CON

من أين بدأت الخدعة؟

استغلّت الحملة أجواء مؤتمري Black Hat وDEF CON، وهما من أبرز تجمعات الأمن السيبراني في الولايات المتحدة، لبناء غطاء مهني مقنع. استخدم الحساب @HartmansDoeke على منصة X، مدعيًا أنه يمثل CoinDesk بصفته نائب الرئيس ورئيس التسويق، وبدأ باستهداف أشخاص مرتبطين بالمؤتمرين. 1411

كان المهاجم يرد أحيانًا على منشورات عامة لتمييز المشاركين المحتملين، ثم ينقل الحوار إلى الرسائل الخاصة. وبعبارات إنجليزية ركيكة، كان يسأل الباحث إن كان يخطط لحضور فعالية أخرى، قبل أن يعرض عليه المشاركة في مؤتمر للعملات المشفّرة زُعم أنه من تنظيم CoinDesk، رغم أن المؤتمر لم يكن موجودًا. 4510

مستند Google حقيقي… وواجهة مزيفة

بعد إظهار الهدف اهتمامه، أرسل المهاجم مستندًا على Google Docs بدا كأنه ملف لتخطيط المؤتمر. وبحد ذاته، لم يكن المستند صفحة تصيد تقليدية أو رابطًا إلى نطاق مقلّد؛ فقد فُتح داخل خدمة Google المعروفة وبدا مألوفًا للمستخدم المسجّل الدخول إلى حسابه. 468

لكن المستند احتوى على واجهة جانبية مخصصة أنشئت باستخدام Google Apps Script، وهي أداة شرعية تتيح إضافة قوائم وواجهات جانبية وعناصر تفاعلية إلى مستندات Google. جعلت الواجهة المحتوى يبدو وكأنه مشفّر جزئيًا، وطلبت من المستلم إدخال «مفتاح تشفير» أرسله المهاجم في الرسائل الخاصة على X. 68

عند إدخال المفتاح، صُممت العملية بحيث تبدو فاشلة. ثم عرضت الواجهة خيارات متابعة، من بينها تعليمات بأسلوب ClickFix وخيار لتنزيل ملف. وكان الهدف من المسارين إقناع الضحية بتنزيل شيفرة خبيثة وتنفيذها. 48

الدرس الأهم هنا أن ظهور عنوان google.com أو فتح الملف داخل خدمة إنتاجية معروفة لا يعني أن محتوى المستند أو الشيفرة المضمّنة أو التعليمات أو التنزيلات آمنة. الثقة في المنصة استُخدمت كجزء من الخدعة، لا كدليل على سلامة الملف.

ما البرمجيات التي حاولت الحملة نشرها؟

تغيرت الحمولة بحسب نظام تشغيل الهدف:

• أجهزة macOS: حاول المسار إيصال Atomic macOS Stealer (AMOS)، وهي برمجية لسرقة المعلومات. كما ربطت التقارير هذا المسار بمشاركة Dropbox DocSend مزيفة ومثبّت مقلّد. 2
• أجهزة Windows: استُخدم NetSupport RAT، وهو منتج شرعي للدعم والوصول عن بُعد، لكن جرى توظيفه هنا كحصان طروادة يتيح الوصول عن بُعد.
• محافظ العملات المشفّرة: رصد الباحثون أيضًا مثبّتًا أو غرسة مزيفة تنتحل برنامج محفظة Ledger، ما يشير إلى أن بيانات المحافظ والعملات المشفّرة كانت ضمن الأهداف المحتملة. 2

وتصف الأدلة المتاحة مسارات الإيصال والحمولات التي سعت الحملة إلى نشرها، لكنها لا تثبت أن باحث Huntress أو أهدافًا أخرى نجحوا في تثبيت الحمولة أو تعرضوا لاختراق مؤكد.

كيف وثّقت Huntress الهجوم؟

أدرك الباحث المستهدف من Huntress أن التواصل مريب، لكنه واصل المحادثة متظاهرًا بالتعاون. أتاح ذلك للفريق مراقبة الرسائل، واستلام المستند، وتوثيق انتقال الخدعة من دعوة المؤتمر إلى مستند Google، ثم إلى شريط Apps Script الجانبي ومطالبة مفتاح التشفير وخيارات تنفيذ البرمجية الخبيثة. ولم يثبّت الباحث الحمولة. 1411

قدمت هذه الطريقة رؤية واضحة لسلسلة الهجوم كاملة، بدل الاكتفاء برسالة التواصل الأولى: انتحال الهوية على X، والردود العامة والرسائل الخاصة، وغطاء المؤتمر الوهمي، ومستند Google، والواجهة الجانبية المزيفة، ثم المسارات المختلفة بحسب نظام التشغيل.

مؤشرات تحذيرية ينبغي الانتباه إليها

توضح الحملة أن الدعوات المرتبطة بالمؤتمرات والفعاليات المهنية تحتاج إلى التدقيق نفسه الذي تخضع له رسائل التصيد الإلكتروني، حتى عندما تصل عبر منصة اجتماعية معروفة أو تستخدم خدمة سحابية شرعية.

ومن أبرز العلامات التحذيرية:

• رسالة غير متوقعة من حساب يدعي تمثيل جهة منظمة لمؤتمر أو شركة إعلامية أو راعٍ للفعالية؛
• محاولة نقل الحوار من الردود العامة إلى الرسائل الخاصة قبل التحقق من هوية المرسل عبر قناة مستقلة؛
• مستند يطلب مفتاحًا أو كلمة مرور أو «خطوة فك تشفير» أُرسلت في محادثة منفصلة؛
• مستند Google يعرض شريطًا جانبيًا مخصصًا أو نافذة تفاعلية غير معتادة تطلب تنزيل برنامج أو لصق أوامر؛
• عرض محفظة عملات مشفّرة أو أداة دعم عن بُعد أو برنامج خاص بالمؤتمر من خارج القنوات الرسمية التي جرى التحقق منها بشكل مستقل.

إذا اتبع شخص هذه التعليمات، فمن الأفضل عزل الجهاز المتأثر، وتغيير بيانات الاعتماد التي يُحتمل انكشافها، وتدوير المفاتيح والأسرار، ومراجعة محافظ العملات المشفّرة والحسابات الحساسة الأخرى. 1819

ما الذي تؤكده التقارير وما الذي لا تؤكده؟

تدعم التقارير آلية الحملة الأساسية: انتحال هوية على X، واستخدام الردود العامة والرسائل الخاصة، وذريعة مؤتمر تشفير وهمي، ومستند Google مدعّم بـApps Script، ومفتاح فك تشفير مزيف، وتعليمات متابعة من نمط ClickFix، ومحاولات لإيصال برمجيات خبيثة إلى أجهزة macOS وWindows. 1246811

لكن السجل المتاح لا يتضمن ردًا موثقًا من المهاجم المشتبه به أو من Google. كما لا يقدم أدلة كافية لإجراء مقارنة محددة مع حملات سابقة نُسبت إلى جهات حكومية أو إلى مجموعات قرصنة بعينها. وبصورة عامة، تنتمي الواقعة إلى نمط معروف من الهندسة الاجتماعية المصممة لاستهداف مختصي الأمن، لكن ما يميزها هو دمج محتوى مستضاف على خدمات Google الموثوقة مع واجهة Apps Script كجزء من مسار إيصال البرمجية الخبيثة.