تخطي إلى المحتوى

نظرة عامة

عادة ما تكون رسائل التصيد الاحتيالي مرتبطة بالبنية التحتية الضارة التي تهدف إما إلى سرقة بيانات اعتماد تسجيل الدخول واستخدامها للوصول إلى أنظمة المؤسسة أو الفرد، أو تسعى بطريقة أخرى إلى تقديم حل وسط مصمم اجتماعيًا مثل استغلال المتصفح أو الجهاز وهي إحدى أكثر التقنيات شيوعًا التي تستخدمها الجهات الفاعلة الخبيثة التي تهدف إلى اختراق المنظمات غير الحكومية. في كثير من الأحيان، قد تجد منظمة غير حكومية تتلقى مثل هذه الرسائل صعوبة في تحديد على وجه اليقين ما إذا كانت مشبوهة ناهيك عن تحديد هوية المهاجم وهدفه وقد يكون التحقق مع المرسل المفترض من خلال قناة أخرى أسهل طريقة للتحقق مما إذا كانت الرسالة سليمة. إذا تعذر الاتصال بالمرسل أو إذا كانت الرسالة غير سليمة، فقد يكون من المهم تحليلها بمزيد من التعمق، مما يسمح لنا بوقف الهجمات الشبيهة قبل أن تعرض أنظمة المنظمات غير الحكومية للخطر، ومنعها من القيام بذلك في المستقبل وتنبيه الآخرين ضمن المجتمع إلى مثل هؤلاء المهاجمين وتكتيكاتهم وتقنياتهم وإجراءاتهم. تجري بعد ذلك عادة مبادلة نتائج هذه التحقيقات إما من خلال التقارير الرسمية أو الشبكات أو المناقشات غير الرسمية بين المتخصصين في أمن المنظمات غير الحكومية.

كانت هناك العديد من الحالات التي أجرت فيها المنظمات غير الحكومية تحقيقات ممتازة في أمور البنية التحتية الخبيثة، وتشمل هذه الجهود جهدًا مشتركًا بين بيلينغكات (Bellingcat) والعديد من مجموعات القطاع الخاص التي تحقق في هجمات التصيد الاحتيالي ضد المنظمات التي تركز على الشؤون المتعلقة بروسياالعديد من مجموعات القطاع الخاص التي تحقق في هجمات التصيد الاحتيالي ضد المنظمات التي تركز على الشؤون المتعلقة بروسيا، بالإضافة إلى مشروع هيومن رايتس ووتش والعفو الدولية الذي تعقب محاولات التصيد الاحتيالي المنسوبة إلى الحكومة الإيرانية.

تبدأ الهجمات التي يدرسها هذا القسم عمومًا برسالة تصيد احتيالي، حيث يتلقى الشخص المستهدف رسالة (على البريد الإلكتروني أو واتسآب أو أي وسيط آخر) تحاول إقناعه بالنقر على رابط. وفي بعض الأحيان يعمل الشخص المستهدف لصالح مجموعة من المجتمع المدني ويصبح هدفًا نتيجة ارتباطه بها، حيث يأمل المهاجمون التسلل أعمق داخل أنظمة المنظمة، وفي حالات أخرى يستهدف المهاجمون بشكل مباشر الباحثين الأفراد أو العاملين لحسابهم الخاص.

غالبًا ما تحاول رسالة التصيد الاحتيالي خداع الشخص المستهدف لإدخال بيانات اعتماده مثل أسماء المستخدمين وكلمات المرور (كما حدث مع الهجمات التي وثقتها بيلنيغكات وهيومن رايتس ووتش) أو تنزيل البرمجيات الضارة أو في بعض الحالات تجاوز أمان المتصفح للوصول مباشرة إلى المعلومات في المتصفح أو تثبيت البرمجيات الضارة تلقائيًا. تغطي أقسام “الفحص غير النشط: تحليل عناوين موقع ويب وأسماء المضيفين وعناوين بروتوكول الإنترنت” و"الفحص غير النشط: تحليل عناوين البريد الإلكتروني" هذه المراحل من الهجوم.

عندما يتلقى شخص ما رسالة تصيد احتيالي موثوقة، أو يتعرض لهجوم بطريقة أخرى من خلال برمجيات ضارة، قد يحتاج إلى محاولة تحديد البنية التحتية (الخوادم ومواقع الويب وما إلى ذلك) التي يستخدمها المهاجمون. تُعدّ الهجمات الموجهة باستخدام بنية تحتية مكرّسة أو مخترقة نادرة نسبيًا لذلك سيساعدك قسم “التصنيف” على تحديد ما إذا كان الأمر يستحق قضاء بعض الوقت لإجراء التحليل. من المفيد أن تتمتع بفكرة جيدة حول إدارة الحوادث بشكل عام قبل بدء مسار التعلّم هذا.

قبل زيارة أي مواقع ويب يتحكم فيها المهاجمون، أو تنزيل أي برمجيات ضارة، من المهم أن تتعلّم القيام بذلك بأمان. وينظر مسار التعلّم هذا إلى كل من تقنيات الفحص غير النشط التي لا تتصل بخادم المهاجم وبالتالي من غير المرجح أن تنبههم إلى وجود تحقيق جارٍ، والتقنيات النشطة التي تتصل بالخوادم. بمجرد أن تتعلّم كيفية إجراء فحص غير نشط، يمكنك الانتقال إلى التقنيات النشطة لزيارة مواقع الويب المرتبطة برسائل التصيد الاحتيالي وتحليلها لاكتشاف البنى التحتية الإضافية التي يتحكم فيها المهاجمون. يغطى ذلك في قسم “الفحص النشط: تحليل صفحات الويب الضارة”. إذا تمكن المهاجم من وضع برمجيات ضارة على جهاز الشخص أو المؤسسة المستهدفة، ستتواصل هذه البرمجيات عادةً مع خادم الأوامر والتحكّم، ويغطى اكتشاف خوادم المهاجم هذه وكيفية عملها في مسار تعلّم تحليل البرمجيات الضارة. يُعدّ تحليل البرمجيات الضارة مهارة أخرى يمكنك استخدامها لاكتشاف البنية التحتية الإضافية الخاصة بالمهاجمين.

كي تتمكن من دعم كل من الشخص الذي تساعده والمجتمع الأكبر بصورة أفضل، من المهم توثيق النتائج التي توصلت إليها ومشاركتها ويغطى ذلك في قسم “توثيق النتائج”. هناك عدد من المجتمعات لمشاركة التهديدات والمعلومات داخل مساحة المنظمات غير الحكومية الأوسع ولكن إدراجها يقع خارج نطاق مسار التعلّم هذا.

وأخيرًا، من المهم أن ندرك مقدمًا أن العديد من تقنيات التحقيق في مسار التعلّم هذا يمكن أن تنبه المهاجم إلى أنه يخضع للتحقيق أو حتى تُعرض المحقق أو المجتمع الأوسع للخطر. نُقسّم التقنيات بين طرق نشطة وغير نشطة ونوصي بتوخي الحذر عند التفكير باستخدام طرق الفحص النشطة، وتحدث أولًا إلى الفرد/المنظمة المتلقية قبل القيام بذلك من أجل مناقشة نموذج التهديد الخاص بهم والسماح لهم باتخاذ خيار مستنير بشأن المضي قدمًا في إجراء التحقيقات. غير نشطة (مناسبة في جميع الحالات)

  • تستخدم المعلومات التي تم تسليمها بالفعل إلى الشخص المستهدف
  • لا تنطوي على التواصل مع البنية التحتية للمهاجم
  • أسهل بشكل عام
  • لا تُنبه المهاجم عمومًا إلى أنه قيد التحقيق
  • أكثر أمانًا

نشطة

  • تستخدم بشكل عام فقط لتسليم البرمجيات الضارة وخوادم الأوامر والتحكّم
  • سيتفاعل المحقق مع البنية التحتية الخاصة بالمهاجم
  • غالبًا ما تتطلب المزيد من المهارة وتحقيقًا أعمق
    • أشبه “بلعبة قط وفأر” مع المهاجم
  • قد تُنبه المهاجم إلى أنه يخضع للتحقيق
  • يمكن أن تعرض المحقق لخطر الاختراق أو الاستهداف

الهدف

سوف يتعلم الممارسون كيفية:

  • تصنيف رسائل البريد الإلكتروني لفهم ما إذا كانت ضارة/تستحق التحقيق المتعمق
  • فهم المهاجمين وأساليب الهجوم
  • تحليل عناوين البريد الإلكتروني لتحديد البنية التحتية للمهاجمين
  • تحليل صفحات الويب المقصودة الضارة
  • توثيق نتائج التحقيق والإبلاغ عنها
  • بدء إجراءات الإزالة للحد من الضرر

ما هي التهديدات التي تخففها هذه المهارة أو تستجيب لها؟

يمكن أن تساعد المهارات في التحقيق في البنية التحتية الضارة ومعالجتها واكتشافها في الاستجابة لما يلي:

  • هجمات التصيد الاحتيالي المستهدفة

  • التصيد الاحتيالي القائم على برامج المراسلة

  • البنية التحتية المتعلقة بالتصيد الاحتيالي

    ما هي المتطلبات المسبقة؟

  • المعرفة الأساسية بسطر الأوامر على نظام تشغيل رئيسي تعرفه. إذا كنت ترغب في تعلّم بعض أساسيات أسطر الأوامر أو تحسينها، فإننا نوصي بهذا الدليل وهذا الدليل . إذا كنت تبحث عن مقدمة عامة للمبتدئين في سطر الأوامر، فإننا نوصي بإكمال الفصل 4 من الدليل الميداني لمخابر التهديد حول هذا الموضوع.

  • فهم أساسي للغة تمييز النص التشعبي (HTML) ولغة جافا سكريبت (JavaScript). سواء كنت بحاجة إلى التعرف عليها من الصفر أو ترغب في تحديث معرفتك، فإننا نوصي بمستندات مطوري إم دي إن (MDN Developer)

  • فهم أساسي لكيفية عمل مستودعات غيت (Git) وكيفية التفاعل معها. في حين أن المعرفة التفصيلية بالمنصات القائمة على غيت وغيت مثل غيت هب (GitHub) وغيت لاب (GitLab) غير ضرورية، إلا أنها قد تكون مفيدة لجميع مسارات التعلّم حيث إن العديد من الأدوات والموارد موجودة عليها ومع مرور الوقت قد ينتهي بك المطاف في تحديث المستودعات المحلية أو حتى إنشاء فروعك الخاصة. إذا لم تكن قد عملت كثيرًا مع هذه المنصات في الماضي، فإننا نوصي بالبدء بأي من هذه الموارد:

ما هي الأجهزة أو البرمجيات التي تحتاجها للتمارين؟

  • لا تحتاج إلى أي أجهزة متخصصة أو قوية لمسار التعلّم هذا، ولكن يمكن أن تستخدم أي جهاز حاسوب حديث. في حين أن الأدوات في مسار التعلّم هذا قد تم اختبارها فقط على الأنظمة المستندة إلى x86، ولكن يمكن أن تعمل معظمها إن لم يكن جميعها أيضًا على أنظمة إيه آر إم (ARM) مثل أجهزة كمبيوتر رازبيري باي (Raspberry Pi) أو آبل سيليكون (Apple Silicon).
  • تعمل العديد من الأدوات في مسار التعلّم هذا بشكل أفضل على أنظمة تشغيل مشابهة لنظام يونكس (Unix). وهذا يعني أنه من الأسهل استخدام أجهزة لينوكس (Linux) أو ماك أو إس (macOS) أو ويندوز (Windows) المثبت عليها نظام ويندوز الفرعي لنظام لينوكس (Windows Subsystem for Linux).
  • إذا كنت تقوم بتشغيل ويندوز، فستحتاج إلى تثبيت نظام ويندوز الفرعي لنظام لينوكس لتتمكن من تشغيل بعض الأدوات المذكورة أدناه. إذا كنت تعمل على ماك أو إس، فمن المستحسن تثبيت هومبرو (Homebrew) أو ماكبورتس (Macports) لأنها أدوات إدارة حزم يمكنها أتمتة عملية تثبيت بعض الأدوات الموضحة خلال مسار التعلّم.
  • يجب أن يكون لكل من نظام ويندوز الفرعي لنظام لينوكس ولينوكس أداة إدارة حزم مضمنة يمكنك استخدامها لتثبيت الأدوات الموضحة أدناه. من الأفضل تحليل البنية التحتية الضارة على جهاز منفصل لا تستخدمه في أعمال حساسة أخرى وحيث لم يتم تسجيل دخولك إلى أي حسابات حساسة أو حسابات عمل. وإذا لم تتمكن من استخدام جهاز منفصل، فيمكنك أيضًا تشغيل التحليل داخل جهاز افتراضي. إذا كنت قد بدأت للتو باستخدام الأجهزة الافتراضية، راجع هذا الدليل السريع حول كيفية تشغيل أوبنتو لينوكس (Ubuntu Linux) سهل الاستخدام ضمن جهاز واحد.

مسارات التعلّم ذات الصلة

يُقدم مسار التعلّم هذا مقدمة رائعة للمسارات الأخرى، وبعد الانتهاء منه، نوصي بأن يعمل المتعلّمون على اكتشاف البرمجيات الضارة أو أساسيات أمان الويب.