كشف باحثون في الأمن السيبراني عن نشاط مجموعة خبيثة تُعرف باسم Lurking Lizard، تدير منذ سنوات مشروعاً كاملاً لتحويل الأجهزة المخترقة إلى عقد بروكسي سكنية، مستخدمةً أكثر من 230 نطاقاً مقلداً. أحدث حملاتها تضمنت توزيع مُثبّتات مزيفة لبرنامج 7-Zip عبر موقع شبيه بعنوان “7zip[.]com”، ما أدى إلى تجنيد أجهزة الضحايا ضمن شبكة بروكسي خاضعة لسيطرتها.
أسلوب الهجوم
تعتمد المجموعة على عدة تقنيات متداخلة:
- ترويج مُثبّتات مزيفة عبر مواقع مقلدة أو محتوى تعليمي مضلل.
- انتحال هوية مزوّدي بروكسي مثل IPIDEA وSmartProxy و911Proxy.
- تشغيل مواقع مراجعة وهمية لجذب المستخدمين نحو منصاتها الاحتيالية.
- استخدام تقنية Drop-Catching للاستيلاء على النطاقات المنتهية الصلاحية واستغلال سمعتها السابقة.
التحقيقات أظهرت أن البنية التحتية نفسها استُخدمت لتوزيع مُثبّتات خبيثة لبرامج أخرى مثل WhatsApp، أدوات تنزيل TikTok وYouTube، إضافة إلى WireVPN.
البنية التحتية والانتشار
تحليل بيانات Proxyway كشف أن أكثر من 773,000 عنوان IP مرتبط بـ SmartProxy ظهر أيضاً ضمن قاعدة بيانات IPIDEA التي تضم أكثر من 16 مليون عنوان، ما يشير إلى أن SmartProxy قد يعيد بيع أو يعتمد بشكل كبير على بنية IPIDEA. كما أن WHOIS وبصمات البنية التحتية تشير إلى أن Lurking Lizard جهة مقرها الصين، وتستخدم خدمات VPN شهيرة مثل HeroSMS كغطاء لتوزيع البرمجيات الخبيثة.
تطور الحملة عبر الأنظمة
أحدث نسخة من الحملة استهدفت مستخدمي WireVPN عبر تطبيقات على أنظمة Android وmacOS وWindows. أحد التطبيقات المزيفة على متجر Google Play، باسم “wirevpn – Fast Unlimited Proxy”، تجاوز مليون تنزيل، ما يثير مخاوف حول مدى انتشار العدوى عبر الأجهزة المحمولة.
المخاطر على المستخدمين
النتيجة هي عملية متكاملة تمر بمرحلتين:
- تجنيد الأجهزة عبر مُثبّتات مزيفة وتطبيقات خبيثة.
- تسويق الشبكة عبر علامات تجارية مقلدة ومواقع مراجعة مزيفة.
هذا يعني أن أجهزة المستخدمين قد تتحول إلى منصات لتمرير حركة مرور غير مشروعة، ما يعرضهم لمخاطر مثل:
- استخدام عناوينهم في هجمات سيبرانية.
- حجب أو تصنيف حركة المرور الشرعية على أنها مشبوهة.
- تورط غير مباشر في أنشطة إجرامية عبر الإنترنت.
السياق الأوسع
يأتي هذا الكشف بعد أيام من إعلان Google عن تعطيل شبكة NetNut (Popa) التي حوّلت أكثر من مليوني جهاز منزلي إلى عقد بروكسي عبر برمجيات مخفية في تطبيقات أو مثبتة مسبقاً في الأجهزة. هذه التطورات تؤكد أن سوق البروكسي السكني أصبح بيئة خصبة للجريمة السيبرانية، حيث تُستغل الأجهزة المنزلية دون علم أصحابها.
