كشف باحثون في شركة هانتريس للأمن السيبراني عن موقع مزيف لتنزيل برنامج WatchGuard Mobile VPN with SSL، يعمل عبر النطاق watchguard-vpn[.]net، ويعتمد أسلوباً غير مألوف في سرقة بيانات الدخول. فبدلاً من نشر ملف خبيث يمكن لأدوات الحماية رصده، يعرض الموقع نافذة منبثقة داخل المتصفح تطلب من الضحية عنوان خادم الشبكة الافتراضية الخاصة واسم المستخدم وكلمة المرور. وكان النطاق خارج الخدمة اعتباراً من الثالث عشر من أكتوبر.
كيف تعمل نافذة سرقة بيانات الدخول المنبثقة
يبدو الموقع للوهلة الأولى صفحة رسمية تابعة للشركة المصنعة، إذ يقدم خيار تنزيل WatchGuard SSL VPN، ويضم أقساماً تعريفية بمنتجات الشركة وقسماً للأسئلة الشائعة حول الشبكة الافتراضية المتنقلة، ويرجح الباحثون أنه وُضع لتحسين ترتيب الموقع في محركات البحث. وحين ينقر الزائر على أحد روابط التنزيل المخصصة لأنظمة التشغيل المختلفة، يظهر نموذج داخل المتصفح يطلب بيانات الاتصال بالشبكة.
ولا تثير هذه الخطوة الشك عادة، لأن العميل الحقيقي للبرنامج يطلب المعلومات نفسها عند الاتصال بالخادم، فيظن المستخدم أن الأمر جزء طبيعي من عملية التثبيت. وهنا تكمن براعة المهاجمين، إذ يستغلون ألفة الإجراء لدى مديري الأنظمة والموظفين الذين اعتادوا هذه التفاصيل.
خدعة رفض المحاولة الأولى لجمع بيانات مضاعفة
تتمثل اللمسة الخاصة في هذه الحملة في أن الموقع يرفض المحاولة الأولى ويعرض رسالة تفيد بأن البيانات غير صحيحة، حتى لو كانت صحيحة تماماً. ويرجح الباحثون أن الهدف دفع الضحية إلى إدخال بياناتها مرة ثانية، فيحصل المهاجم على نسختين قد تختلفان إحداهما عن الأخرى، ما يزيد فرص الحصول على بيانات صالحة للاستخدام إذا كان الضحية قد أخطأ في الإدخال الأول أو جرب كلمات مرور متعددة.
وبعد إتمام المحاولتين يبدأ الموقع بتنزيل مثبّت البرنامج الأصلي، فيعتقد الضحية أن كل شيء جرى على ما يرام وأن الرسالة السابقة كانت مجرد خطأ عابر في الإدخال.
تنزيل مثبّت أصلي وموقع رقمياً من شبكة توزيع المحتوى
الجانب الأخطر في العملية أن الملف الذي يحصل عليه الضحية سليم تماماً، فهو يُجلب مباشرة من شبكة توزيع المحتوى التابعة لشركة WatchGuard نفسها، وهو موقع رقمياً بتوقيع صحيح. وقال باحثو هانتريس إن هذا الأسلوب يعني غياب أي ملف خبيث يمكن لأدوات حماية نقاط النهاية أن ترصده. وأضافوا أن المهاجم يكون قد حصل في الوقت ذاته، من دون علم الضحية، على بيانات الدخول التي تفتح له الباب إلى شبكات الضحايا.
وبذلك تنتفي الإشارات التقليدية التي يعتمد عليها فريق الأمن في الكشف عن الاختراق، فلا برمجية تُحلَّل ولا توقيع مشبوه يُتتبع، ويصبح الاختراق اللاحق عبر الشبكة الافتراضية الخاصة أشبه بدخول مستخدم شرعي يحمل بيانات صحيحة.
خلفية الحملة وأهمية تغيير كلمات المرور فوراً
لا تبدو هذه الواقعة معزولة، فشركة WatchGuard كانت قد رصدت في يناير الماضي نطاقات تنتحل هويتها، ضمن حملة أوسع لسرقة بيانات الدخول تستهدف مزودي خدمات الشبكات الافتراضية الخاصة. وفي تلك المرحلة كانت إحدى الصفحات توجه الزائر إلى ملف مضغوط خبيث مستضاف على منصة جيت هاب يحوي عميلاً مزيفاً مطابقاً للأصلي، وكانت نتائج البحث في محركات مثل بينغ وغوغل تعرض النطاقات المنتحلة لمن يبحث عن تنزيل البرنامج. أما الحالة التي حللها فريق هانتريس في أكتوبر فتمثل تطوراً لافتاً في الأسلوب، إذ جرى الاستغناء عن البرمجية الخبيثة كلياً والاكتفاء بالتصيد داخل المتصفح.
وتشير المعلومات المتاحة إلى أن الواقعة بدأت حين بحث مسؤول في شركة خدمات مُدارة عن برنامج الاتصال عبر محرك بحث، فوصل إلى الموقع المزيف. وبعد إبلاغ الجهات المعنية خرج النطاق من الخدمة، لكن ذلك لا يلغي الخطر على من أدخل بياناته قبل ذلك، إذ ينبغي لهؤلاء إبلاغ فرق تقنية المعلومات وإعادة تعيين كلمات المرور المعنية فوراً. وينصح الخبراء بعدم الاعتماد على نتائج البحث للوصول إلى صفحات التنزيل، وباستخدام الرابط الرسمي للشركة أو التعليمات التي تعتمدها إدارة تقنية المعلومات في المؤسسة، وبتفعيل المصادقة متعددة العوامل على حسابات الشبكات الافتراضية الخاصة كي لا تكفي كلمة المرور وحدها للدخول.
