داخل عملية احتيال الدعم الفني المزعوم من Microsoft التي تعمل عبر Help TDS

كشف باحثون من Infoblox تفاصيل عملية احتيال كبيرة للدعم الفني تنتحل صفة Microsoft، وتستخدم نظام توزيع حركة مرور ضار (TDS) يُعرف باسم Help TDS. تنشط هذه العملية منذ عام 2017، وتستغل أدوات وبنية تحتية مشروعة لخداع المستخدمين.

يعيد نظام Help TDS توجيه حركة مرور الويب إلى وجهات متعددة، وكان مصممًا في الأصل لشركاء الإعلانات الرقمية لإدارة حركة المرور. لكن على مر السنين، استغله العديد من مجرمي الإنترنت الذين أنشأوا نسخًا سرية خاصة بهم تُسوَّق على الشبكة المظلمة (Dark Web). تُستخدم هذه الأدوات عادةً في حملات الإعلانات الخبيثة (malvertising) وهجمات برامج الفدية، إذ تعيد توجيه المستخدمين غير المتوقعين إلى مواقع ضارة مع تجنب اكتشافها من قبل إجراءات الأمان.

غالبًا ما يواجه ضحايا Help TDS تنبيهات أمان مزيفة مصممة لإخافتهم ودفعهم إلى الاتصال برقم دعم. يدير مركز الاتصال مجرمو إنترنت ينتحلون صفة موظفي Microsoft، ويهدفون إلى إقناع الضحايا بتثبيت أدوات سطح مكتب بعيد على أجهزتهم. أشار باحثو Infoblox: «الأمر ليس مجرد احتيال ببطاقة ائتمان: إنه وصول عن بُعد، وعمليات برمجيات خبيثة تعيش على الأرض. بمجرد الدخول، يمكن للفاعل الخبيث استغلال الضحية مرارًا وتكرارًا.»

خلال تحقيقهم، تمكنت Infoblox من الوصول إلى لوحة الشركاء التابعة لـ Help TDS، وكشفت أنها تعمل كبنية تحتية للتوجيه لعمليات احتيال متنوعة بدلًا من شركاء إعلانات شرعيين. تشمل بعض الشركاء المرتبطين بـ Help TDS عمليات برمجيات خبيثة سيئة السمعة مثل Balada Injector وDollyWay.

حددت Infoblox أن Help TDS تديرها Hotejka، وهي شبكة شركاء إعلانات ناطقة بالروسية. وبينما لم يكشف الباحثون عن كيفية وصولهم إلى لوحة الشركاء لحماية وصولهم، قدموا أدلة إضافية إلى Dark Reading، بما في ذلك لقطات شاشة من لوحة Hotejka تعرض ميزات مألوفة لشبكات الإعلانات.

احتوت لوحة الشركاء أيضًا على روابط مباشرة لحملات احتيال الدعم الفني وإضافة WordPress خبيثة وثّقها باحثو GoDaddy سابقًا. يمكن للشركاء بسهولة اختيار احتيال الدعم الفني كحملة لتشغيلها، مما يسمح بتوزيع واسع النطاق.

عندما يختار فاعل خبيث احتيال الدعم الفني، يُعاد توجيه المستخدمين عبر Help TDS، حيث تُؤخذ بصماتهم ويُوجَّهون إلى الاحتيال أو إلى منصة شركاء أخرى. يبدأ الاحتيال بإشعار Windows يطالب بتحديث مطلوب، يتبعه تحذير مزيف من Microsoft Windows Security Center يطلب من المستخدمين الاتصال برقم مدرج للحصول على الدعم.

تضمن تحقيق Infoblox اتصالًا بأحد الأرقام المدرجة في تنبيه الاحتيال. تحدثت رينيه بيرتون، نائبة رئيس استخبارات التهديدات في Infoblox، مع فرد يدعي أنه موظف دعم في Microsoft. كشف الحوار أن الفاعل الخبيث أكد لبيرتون أنها لن تُفرض عليها رسوم مقابل الدعم ووجّهها لتنزيل تطبيق سطح مكتب بعيد.

أشارت بيرتون إلى أن عملية Help TDS تتميز بثلاث سمات مميزة مقارنةً بعمليات احتيال الدعم الفني الأخرى. أولًا، يعطّل مكوّن قفل المتصفح الوصول إلى لوحة المفاتيح بفعالية، مما يعزز جانب الهندسة الاجتماعية. ثانيًا، تستخدم العملية قناة Telegram لتبديل التحكم والسيطرة، وتغيّر مجموعات النطاقات بشكل متكرر لتجنب الاكتشاف. أخيرًا، يسمح نموذج الشركاء الفريد بقابلية توسع كبيرة، مع التواصل مع أسماء بارزة في صناعة البرمجيات الخبيثة.

تسيء Help TDS أيضًا استخدام بنية Cloudflare التحتية، إذ تنشئ العديد من مواقع Cloudflare Pages القابلة للتخلص منها. أفادت Infoblox باكتشاف أكثر من 20,000 نطاق من هذا القبيل خلال فترة ستة أشهر، مع إنشاء الفاعلين الخبيثين لنحو 300 موقع جديد على Cloudflare Pages يوميًا. هذا الإنشاء السريع للنطاقات يعقّد تتبع الإساءة وتوثيقها.

على الرغم من جهود Infoblox لهندسة الخوارزميات المستخدمة من قبل Hotejka عكسيًا، تبقى تحديات في مراقبة العملية بسبب الطبيعة السريعة لتغييرات التحكم والسيطرة. تستمر عملية Help TDS في العمل على خادم Keitaro نفسه الذي نُشرت عليه في البداية، مما يثير مخاوف بشأن أمان المنصة ومنع إساءة استخدامها.

أبلغت Infoblox Cloudflare ببعض النطاقات الحديثة، وتقوم Cloudflare حاليًا بمراجعة المعلومات المقدمة.

المصدر: Dark Reading