شهدنا مؤخرًا حملة تصيد إلكتروني متطورة تستهدف مديري الإعلانات، وتستخدم تقنية «Browser-in-the-Browser» (BitB) لسرقة بيانات الاعتماد ورموز المصادقة متعددة العوامل (MFA). اللافت في هذه الحملة هو السرعة التي استغل بها المهاجمون إطلاق منتجات الذكاء الاصطناعي الجديدة، كانتحالهم لخدمة «Muse Ads» المزيفة بعد أيام قليلة من إعلان Meta عن وكيلها الذكي Muse.
بدأ الهجوم بانتحال خدمات ذكاء اصطناعي معروفة مثل Gemini وClaude وChatGPT وPerplexity وManus. ومع إعلان Meta عن Muse في 8 سبتمبر، ظهر موقع إلكتروني مقنع جدًا لمنتج يُدعى Muse Ads في 17 سبتمبر، واعدًا المعلنين بالمساعدة في الوصول إلى المشترين وإدارة الإعلانات المدعومة.
كيف تعمل هجمات Browser-in-Browser؟
تقنية BitB هي طريقة تصيد بارعة تم تفصيلها لأول مرة في عام 2022. تتضمن هذه التقنية بناء نافذة تسجيل دخول وهمية مباشرة داخل نافذة متصفح شرعية. تبدو النافذة المزيفة مطابقة للنافذة الحقيقية، بما في ذلك شريط العنوان والعنوان وعنوان URL، لكنها مجرد تراكب مصمم لسرقة بيانات اعتماد المستخدمين.
عندما ينقر الضحية على زر «اتصال» في الصفحة المزيفة، تفتح طبقة BitB المتراكبة التي تظهر شريط عنوان مزيفًا مثل accounts.google.com أو مستأجر Okta لكسب ثقة الضحية. لكن المتصفح الحقيقي يبقى على نطاق التصيد، ويسرق بيانات الاعتماد بمجرد أن يكتبها الضحية.
سرعة التكيف والبنية التحتية
يشير الباحثان الأمنيّان أوليغ زيتسيف وأوفيك رونين من Island إلى أن المهاجمين كان لديهم بالفعل المنصة الجاهزة، مما سمح لهم بتكييفها بسرعة مع علامة تجارية جديدة مثل Muse Ads. وقد حققت هذه الحملة أرباحًا كبيرة، حيث لوحظت مئات عمليات التسجيل من الضحايا، شملت حوالي 200 عنوان بريد إلكتروني مختلف من واجهة أمامية واحدة خلال شهر.
تدعم المنصة عمليات Google وMeta وTikTok وOkta، وتتكيف طبقة المتصفح المتراكبة مع أنظمة التشغيل المختلفة مثل Windows وmacOS وiOS وAndroid، وحتى تحاكي تفاصيل المتصفح مثل شريط URL في Safari وعلامات التبويب المخصصة في Chrome والوضع المظلم. وقد كشفت تحقيقات الباحثين عن كود مصدر قديم عبر مستودعات GitHub عامة غير مهيأة بشكل صحيح، مما ربط هذه الحملة بعملية أكبر استخدمت أيضًا مواقع لادعاء استرداد الأموال ووظائف وهمية لشركات مثل Adidas وGoogle Careers وRobert Half وTesla وLouis Vuitton. تعتمد هذه الصفحات على مكدس Next.js وSocket.IO، وتستخدم Vercel كواجهات أمامية مع خدمات Railway أو Render كخدمات خلفية.
ماذا يعني هذا للمطورين والمصممين؟
هذه الهجمات تؤكد أهمية اليقظة المستمرة. بصفتنا مطورين ومصممين، يجب أن ندرك أن المهاجمين بارعون في تقليد الواجهات الموثوقة واستغلال الأحداث الجارية. نرى أن هذه الحادثة تبرز الحاجة إلى التركيز على تدابير أمنية قوية، ليس فقط في حماية البيانات، ولكن أيضًا في تثقيف المستخدمين حول كيفية التحقق من شرعية المواقع. يجب على فرق الأمان الحفاظ على قائمة مستمرة بالمجالات الموثوقة، والتحقق دائمًا من عنوان المتصفح الحقيقي، وربط السلوكيات المشابهة عبر المواقع المختلفة. الذكاء الاصطناعي يمكن أن يكون أداة قوية للمدافعين لمواكبة المواقع التي ينشئها الذكاء الاصطناعي والتي أصبحت أكثر إقناعًا وسرعة في الظهور.
المصدر: theregister.com