كشفت شركة ANY.RUN المتخصصة في تحليل التهديدات السيبرانية عن رصد منصة تصيد احتيالي جديدة تحمل اسم Wazza، تستهدف مؤسسات مصرفية وحكومية وقطاعات التصنيع في الولايات المتحدة وأوروبا وأستراليا، عبر بنية هجومية متقدمة تعتمد على سلسلة متعددة المراحل لإخفاء صفحات التصيد وصعوبة اكتشافها من قبل أنظمة الحماية التقليدية.
وتشير نتائج التحليل إلى أن الهجمات الحديثة لم تعد تعتمد فقط على إنشاء صفحة تسجيل دخول مزيفة وانتظار وقوع الضحية في الفخ، بل بات المهاجمون يدمجون آليات متطورة تشمل تصفية الزوار وإدارة الجلسات والتحكم في حركة المرور الرقمية قبل السماح بالوصول إلى صفحة التصيد النهائية.
وتُبرز حملة Wazza هذا التحول الواضح في أساليب الجريمة الإلكترونية، حيث تسعى المجموعات المهاجمة إلى إخفاء البنية الحقيقية للهجوم خلف عدة طبقات من التحقق والتوجيه، ما يجعل الروابط الخبيثة تبدو غير ضارة في بداية الأمر ويُعقّد مهام فرق الأمن السيبراني أثناء عمليات التحليل والاستجابة للحوادث.
كيف تعمل منصة Wazza لإخفاء صفحات التصيد؟
بحسب الباحثين، لا تقوم منصة Wazza بإرسال جميع الزوار مباشرة إلى صفحة التصيد الاحتيالي، بل تعتمد على سلسلة معقدة من عمليات التوجيه والتحقق قبل عرض المحتوى الخبيث.
وتبدأ العملية من نطاق تمهيدي يستخدم أسماء فرعية متعددة، حيث يجري التحقق أولاً من ارتباط الزائر بحملة نشطة. وبعد ذلك تتواصل البنية التحتية للهجوم مع خوادم وسيطة تمنح الزائر معرفاً خاصاً يمكن استخدامه لتتبع زيارته وربطها بجلسة محددة.
وفي الخطوة التالية يتم إنشاء رمز جلسة مؤقت موقّع رقمياً، ثم يُرسل إلى بوابة تحقق مخصصة تقوم بفحص سلوك المتصفح والبيانات التقنية الخاصة بالزائر من أجل استبعاد الباحثين الأمنيين وأنظمة التحليل الآلي وبرامج مكافحة الاحتيال.
ولا يُسمح بالوصول إلى صفحة التصيد النهائية إلا بعد اجتياز جميع هذه المراحل بنجاح. وعندها تظهر صفحة مزيفة تحمل تصميم شركة Adobe وتستغل ما يُعرف بهجمات Device Code Phishing التي تستهدف عمليات المصادقة بدلاً من سرقة كلمات المرور التقليدية فقط.
ويمنح هذا الأسلوب المهاجمين قدرة أكبر على تجاوز أنظمة الحماية الحديثة التي باتت تكتشف بسهولة صفحات تسجيل الدخول المزيفة التقليدية.
استهداف البنوك والحكومات وقطاع التصنيع
أظهرت التحقيقات أن حملة Wazza استهدفت مؤسسات في الولايات المتحدة وعدد من الدول الأوروبية وأستراليا، مع تركيز ملحوظ على القطاعات الحكومية والمصرفية والصناعية.
ويُعد هذا الاختيار منطقياً بالنسبة للمهاجمين، إذ تمتلك المؤسسات المالية بيانات حساسة وحسابات ذات قيمة مرتفعة، بينما تعتمد شركات التصنيع على شبكات رقمية مترابطة وأنظمة تشغيل وإدارة إنتاج معقدة يمكن استغلالها في عمليات الابتزاز أو التجسس الصناعي.
أما الجهات الحكومية فتدير معلومات حساسة وخدمات حيوية تجعلها هدفاً دائماً للهجمات الإلكترونية المتطورة.
ويرى الخبراء أن أهمية حملة Wazza لا تكمن فقط في القطاعات المستهدفة، بل في نموذج العمل الذي تتبعه. فالبنية المستخدمة يمكن إعادة توظيفها بسهولة ضد أهداف مختلفة مع تغيير العلامة التجارية الظاهرة للضحية.
وفي هذه الحملة وقع الاختيار على هوية Adobe نظراً لشهرتها الواسعة واعتياد المستخدمين على تلقي طلبات تحقق ومصادقة مرتبطة بخدماتها، ما يزيد احتمالات نجاح عملية الخداع.
تحديات جديدة أمام فرق الأمن السيبراني
تفرض منصة Wazza تحديات إضافية على فرق الأمن ومزودي الخدمات الأمنية المدارة MSSPs الذين يتولون حماية عدد كبير من العملاء والبيئات الرقمية المختلفة في الوقت نفسه.
ففي الهجمات التقليدية يستطيع المحلل الأمني فتح الرابط المشبوه ومشاهدة الصفحة الخبيثة مباشرة، أما في حالة Wazza فقد تظهر الصفحة الأولى سليمة بالكامل لأن المنصة لا تكشف محتواها الحقيقي إلا للزوار الذين يجتازون جميع مراحل الفحص والتحقق.
ونتيجة لذلك قد تحصل أدوات الأمن الآلية على محتوى مختلف تماماً عن ذلك الذي يراه المستخدم الحقيقي، ما يؤدي إلى إطالة زمن التحقيق وزيادة الحاجة إلى تصعيد الحالات إلى محللين أكثر خبرة.
ويحذر المختصون من أن هذه الأساليب أصبحت اتجاهاً متنامياً في عالم التصيد الإلكتروني، حيث يركز المهاجمون على إخفاء البنية التشغيلية للهجوم بقدر تركيزهم على تطوير صفحات الإغراء نفسها.
المخاطر المحتملة لهجمات Wazza
لا يقتصر تأثير هجمات Wazza على سرقة بيانات تسجيل الدخول فحسب، بل قد تمتد الأضرار إلى مراحل أكثر خطورة داخل المؤسسات المستهدفة.
ففي حال نجاح عملية التصيد قد يتمكن المهاجمون من الاستيلاء على الحسابات الرقمية أو الجلسات النشطة للمستخدمين، ما يتيح لهم استخدام هويات موثوقة للتواصل مع الموظفين أو العملاء أو الشركاء التجاريين.
كما يمكن استغلال الحسابات المخترقة لإطلاق حملات تصيد جديدة من داخل المؤسسة نفسها، وهو ما يمنح المهاجمين مستوى أعلى من الموثوقية أمام الضحايا المحتملين.
وتسمح البنية متعددة المراحل أيضاً بإخفاء مؤشرات الاختراق الحقيقية، حيث تتوزع العملية على عدة نطاقات وخوادم ونقاط اتصال مختلفة، ما يُصعّب على المدافعين ربط جميع أجزاء الحملة ببعضها البعض.
ولهذا يؤكد الباحثون أن مواجهة هذا النوع من التهديدات لا يجب أن تقتصر على حظر نطاق معين أو رابط محدد، لأن البنية التحتية للهجوم قادرة على التغيير المستمر واستبدال النطاقات ومسارات التوجيه فور اكتشافها.
بدلاً من ذلك، يتعين على المؤسسات تبني نهج يعتمد على التحليل السلوكي واستخبارات التهديدات ومراقبة أنماط الهجوم بشكل مستمر، مع استخدام بيئات معزولة لتحليل الروابط المشبوهة وفهم كامل سلسلة الهجوم قبل اتخاذ إجراءات الاستجابة.
