ملخص تنفيذي

تستغل الجهات الفاعلة في مجال التهديد الشعبية المتزايدة لـ DeepSeek من خلال إطلاق حملات التصيد الاحتيالي التي تستخدم اسم العلامة التجارية لـ DeepSeek. تهدف هذه الحملات إلى سرقة بيانات الاعتماد وتوزيع البرامج الضارة، بما في ذلك من خلال مخططات الاستثمار المزيفة.

اكتشف فريق أبحاث التهديدات في CloudSek نطاقًا يستخدم لنشر برامج Vidar Stealer الضارة من خلال حملات ClickFix للتصيد الاحتيالي، وهو نوع من الاحتيال حيث يتم خداع الضحايا للنقر على رابط ضار يبدو أنه تحقق من captcha. غالبًا ما تؤدي هذه الروابط إلى تثبيت برامج ضارة، مثل Lumma Stealer المذكور في هذا التقرير. سابقة مشاركة مدونة، الذي نُشر في سبتمبر من العام الماضي، أوضح ذلك بالتفصيل.

التحليل والإسناد

تحليل المجال المزيف

1. في 31 يناير 2025، كلاود سيكاكتشف محلل عناوين URL السياقي بالذكاء الاصطناعي نطاقًا يحمل الاسم deepseek captcha [.] top تمت استضافة النطاق خلف Cloudflare وتم استخدامه لعرض عرض موضوع مدون DeepSeek مزيف.

‍

‍

2. يُظهر سجل WHOIS أنه تم تسجيل النطاق على 31 يناير 2025. يستخدم النطاق خدمات استضافة Cloudflare لإخفاء طبيعته الحقيقية وتجنب الاكتشاف من محركات البحث القائمة على الذكاء الاصطناعي، مما يسمح له بالبقاء غير مكتشف لفترة طويلة.

3. أثناء تحليل وظائف وتدفق موقع التصيد الاحتيالي، أصبح من الواضح أن النقر فوق الزر «تحقق» في الصفحة المقصودة لصفحة الويب الضارة سيؤدي إلى نسخ أمر PowerShell ضار، وبمجرد اتباع التعليمات، سيبدأ تنزيل ملف ضار.

‍

‍

4. يكشف الأمر المميز في لقطة الشاشة أن الملف المسمى 1.exe تم تنزيله وتنفيذه لاحقًا من %درجة الحرارة% دليل بدون أي تفاعل من المستخدم. عند التحقق من عنوان IP، 147.45.44 [.] 209 وجدنا أن قائمة الدليل تكشف عن جميع الملفات والنصوص في الحملات المستخدمة.

‍

‍

4. استنادًا إلى التحليل الثابت الأساسي للملف الذي تم تنزيله، 1.exe تم تصنيفه على أنه برنامج تنزيل المرحلة الأولى لـ فيدار ستيلر والذي يستخدم لإصابة الأجهزة وسرقة المعلومات.

5. كشفت التحليلات الإضافية أن السارق قد قام بدمج منصات التواصل الاجتماعي، مثل Telegram و Steam، في بنيته التحتية لتوفير التحديثات والدعم، بالإضافة إلى وظيفة القيادة والتحكم (C2). يتضمن ذلك تضمين عنوان IP/عنوان URL في صفحة الملف الشخصي، والتي تستردها البرامج الضارة أثناء المرحلة الأولى من التنفيذ.

‍

‍

التوصيات

• توعية المستخدم والتعليم: أفضل دفاع ضد هجمات التصيد الاحتيالي هو قاعدة مستخدمين مستنيرة. يجب على المنظمات والأفراد إجراء برامج تدريبية منتظمة للتوعية الأمنية لتثقيف المستخدمين حول مخاطر هجمات التصيد الاحتيالي وكيفية التعرف عليها وتجنبها. وهذا يشمل:
  
  • تحديد رسائل البريد الإلكتروني المخادعة: تعليم المستخدمين التعرف على العلامات الشائعة لرسائل البريد الإلكتروني الاحتيالية، مثل عناوين المرسلين المشبوهة والطلبات العاجلة للحصول على معلومات شخصية والروابط إلى مواقع ويب غير مألوفة.
  • مرر مؤشر الماوس قبل النقر: شجع المستخدمين على تمرير مؤشر الماوس فوق الروابط قبل النقر للتحقق من عنوان URL الوجهة.
  • التحقق من أصالة موقع الويب: ننصح المستخدمين بالتحقق من رمز القفل و «https://» في شريط العناوين للتأكد من أنهم يزورون موقعًا آمنًا.
  • الإبلاغ عن نشاط مريب: قم بإنشاء عملية واضحة للمستخدمين للإبلاغ عن رسائل البريد الإلكتروني أو مواقع الويب المشبوهة إلى قسم تكنولوجيا المعلومات.
• المصادقة متعددة العوامل (MFA): يضيف تطبيق MFA طبقة إضافية من الأمان من خلال مطالبة المستخدمين بتوفير أشكال متعددة من التحقق قبل الوصول إلى الحسابات أو الأنظمة الحساسة. يمكن أن يقلل هذا بشكل كبير من مخاطر الوصول غير المصرح به حتى في حالة اختراق بيانات الاعتماد.
• حلول تصفية البريد الإلكتروني ومكافحة الاحتيال: استخدم حلول تصفية البريد الإلكتروني ومكافحة التصيد الاحتيالي لاكتشاف رسائل البريد الإلكتروني الضارة وحظرها قبل وصولها إلى صناديق البريد الوارد للمستخدمين. يمكن لهذه الحلول استخدام مجموعة متنوعة من التقنيات، مثل الاكتشاف المستند إلى التوقيع وتحليل السمعة والتعلم الآلي، لتحديد رسائل البريد الإلكتروني المخادعة وعزلها.
• تجزئة الشبكة: يمكن أن يساعد تقسيم الشبكة في احتواء انتشار البرامج الضارة في حالة هجوم التصيد الاحتيالي الناجح. ومن خلال عزل الأنظمة والبيانات الهامة عن بقية الشبكة، يمكن للمؤسسات الحد من الضرر المحتمل الناجم عن الاختراق.
• خطة الاستجابة للحوادث: يمكن أن يساعد وجود خطة استجابة جيدة للحوادث المؤسسات على الاستجابة بسرعة وفعالية لهجمات التصيد الاحتيالي. يجب أن تتضمن هذه الخطة إجراءات لتحديد التهديد واحتوائه والقضاء عليه، بالإضافة إلى التواصل مع أصحاب المصلحة.
• تحديثات البرامج العادية: يعد الحفاظ على تحديث البرامج والأنظمة بأحدث تصحيحات الأمان أمرًا بالغ الأهمية للتخفيف من نقاط الضعف التي يمكن استغلالها من قبل الجهات الفاعلة في مجال التهديد.
• برامج مكافحة البرامج الضارة: يمكن أن يساعد نشر برامج مكافحة البرامج الضارة على جميع نقاط النهاية في اكتشاف وإزالة البرامج الضارة التي قد يتم تثبيتها من خلال هجمات التصيد الاحتيالي.
• إدارة كلمة المرور: شجع المستخدمين على استخدام كلمات مرور قوية وفريدة لجميع حساباتهم وتجنب إعادة استخدام كلمات المرور عبر مواقع متعددة. ضع في اعتبارك تنفيذ مدير كلمات المرور لمساعدة المستخدمين على إدارة بيانات الاعتماد الخاصة بهم بأمان.

من خلال اتباع هذه التوصيات، يمكن للمؤسسات والأفراد الحد بشكل كبير من خطر الوقوع ضحية لهجمات التصيد الاحتيالي وحماية أنفسهم من المخاطر المرتبطة بسرقة البيانات والخسارة المالية والأضرار بالسمعة.

قائمة مؤشر التسويات

فيما يلي IOCs التي تم جمعها من الحملة:

المراجع

• *مصدر الذكاء وموثوقية المعلومات - ويكيبيديا
• ^#بروتوكول إشارات المرور - ويكيبيديا‍
• https://www.cloudsek.com/blog/unmasking-the-danger-lumma-stealer-malware-exploits-fake-captcha-pages

الملحق

‍

‍