تسليط الضوء على الحملة الواسعة التي تستهدف الولايات المتحدة، حيث تمثل 45% من النشاط المرصود، مما يعكس تهديدًا متزايدًا.
الولايات المتحدة تصبح الهدف الرئيسي في حملة تصيد احتيالي باستخدام RMM تمتد عبر 46 دولة
حملة تصيد احتيالي باستخدام RMM كانت مرتبطة في البداية باستهداف كندا بسبب استخدامها لنماذج ضريبية من وكالة الإيرادات الكندية كطُعم، وقد تبين أنها جزء من حملة أوسع تمتد عبر 46 دولة.
حوالي 45% من النشاط المرصود مرتبط بالولايات المتحدة، مما يجعلها الهدف الجغرافي الرئيسي للحملة. ربطت أبحاث ANY.RUN 601 حالة بالعملية الأوسع، التي تستخدم مستندات مزيفة لخداع الضحايا لتثبيت برامج إدارة ومراقبة عن بُعد (RMM) شرعية.
يعدل المهاجمون طُعمهم لتناسب أهداف مختلفة، مستخدمين اتصالات الشحن وUPS، وملفات PDF من Adobe، وإشعارات الضرائب، ومواضيع إدارة الضمان الاجتماعي الأمريكية، والفواتير، ومستندات أخرى. يجعل البنية التحتية القابلة للتدوير بسرعة من الصعب تتبع الحملة واكتشافها.
تهديد جديد مع تدوير يومي للبنية التحتية
نظرة عامة على التهديد من ANY.RUN
تتغير بنية الحملة بشكل أسرع بكثير من نمط هجماتها. حدد باحثو ANY.RUN 425 عنوان URL لمجموعات عبر 240 مضيفًا، 94% منها تم رصدها ليوم واحد فقط.
استخدمت العملية Vercel وGitHub Pages وNetlify ومواقع الويب المخترقة وبنى تحتية أخرى للتسليم. تم أيضًا إعداد الحمولة عبر خدمات مثل Amazon S3 وCloudflare R2 وGitHub وDigitalOcean Spaces وDropbox وGoFile.
على الرغم من هذا التدوير السريع، تترك مجموعة التصيد بصمات أكثر ثباتًا. ساعدت الأصول المشتركة مثل font1.woff2 والموارد الصورية المتكررة وبنية secure.html → project/*.zip في ربط بنى تحتية منفصلة بالحملة نفسها.
تعد التعليم والتكنولوجيا والحكومة من بين الصناعات المستهدفة بشكل رئيسي. كما أن البنوك والتمويل والتصنيع حاضرة بشكل بارز.
نظرة عامة على سلسلة الهجوم من ANY.RUN
تكون المجالات الفردية ومنتجات RMM قابلة للتخلص، بينما تظل سلسلة التسليم الأساسية أكثر استقرارًا. يظهر هذا السبب في عدم إمكانية الاعتماد على أحكام البرمجيات الخبيثة أو السمعة أو مؤشرات التهديد الفردية فقط للكشف.
لكي يتمكن فرق SOC من كشف هذه الأنماط وتمييز الاستخدام الشرعي لـ RMM عن الإساءة، يحتاجون إلى الوصول إلى السياق السلوكي الكامل وراء النشاط المشبوه.
استجب بسرعة وقلل المخاطر في شركتك من خلال رؤية أعمق ومعلومات من أكثر من 16,000 منظمة. زود SOC الخاص بك بـ ANY.RUN
نقاط رئيسية للكشف لفِرق SOC
- بناء دفاع غير مرتبط بمنتج: يمكن إساءة استخدام البرمجيات الشرعية والتبديل بين البائعين، مما يؤدي إلى فجوات في الرؤية. حافظ على التركيز على سلسلة التسليم ونشاط الوصول عن بُعد غير المصرح به.
- الكشف حول أنماط الحملة: بدلاً من الاعتماد فقط على المجالات، التي تتغير يوميًا في هذه الحملة، أعط الأولوية لمؤشرات المجموعة الأكثر استقرارًا، بما في ذلك fmtt / font1.woff2، icons8-microsoft-word-94.png والأصول الأخرى.
- إنشاء ضوابط على مستوى البريد وزيادة الوعي لدى المستخدمين: يجب أن تأخذ فرق SOC في الاعتبار تسليم الأرشيفات المحمية بكلمة مرور.
- تزويد المحللين بالسياق السلوكي والتهديد: كشفت Sandbox التفاعلية من ANY.RUN عن نشاط الحملة في المتصفح، والبرامج النصية، والعمليات، والتنزيلات، وسلوك الشبكة، بينما ربطت معلومات التهديد المؤشرات الثابتة بالبنية التحتية والحالات ذات الصلة.
مع تزايد دمج المهاجمين للبرمجيات الشرعية، والخدمات الموثوقة، والبنية التحتية القابلة للتخلص، تحتاج فرق الأمان إلى الوصول إلى سياق التهديد العميق وتفعيله.
تتطلب هذه الأنماط الجديدة من الهجمات أن تكون فرق الأمان أكثر وعيًا وفعالية في الكشف عن الأنشطة المشبوهة.
