تحقيقات كاملة، ومعها الدليل

كل حالة هنا وصلت كبلاغ، وفُحصت، وخرجت لها نتيجة. والأسماء والمعرّفات والبصمات في الأمثلة مستبدلة، وكل ما عدا ذلك هو ما حدث

منصة وسيط وهمية «موثوق»

ما حدث

  1. أول تواصل

    يصلك في الخاص أو في مكالمة سيرفر ويسأل عن حساب: تيك توك، سناب، ديسكورد، أي حساب مربوط في البايو. «أرغب في شراء حسابك، هل تبيعه؟»

  2. الطُعم

    يصرّ على منصة وسيط اسمها «موثوق». تسأله عنها، والجواب واحد دائماً. تبحث، فتجد في النتيجة الأولى موقعاً يبدو احترافياً، بلا أيقونة، وكل صفحاته مكتوبة بالأسلوب نفسه.

  3. تسجيل لا يعني شيئاً

    تسجّل. رمز تحقق، وبريد تأكيد، وصفحة محفظة برصيد صفر. لقد بنوا نظاماً كاملاً يتصرف كخدمة حقيقية، لسبب واحد: أن يكسب ثقتك قبل الخطوة التالية.

  4. المصيدة

    يقول المشتري إنه دفع. فيأتيك بريد يؤكد الإيداع، ويزيد الرصيد في المنصة. ولوحة التحكم بأيديهم والبريد يرسلونه هم، فالرقم الذي تراه كتبه الطرف الآخر.

  5. الاحتيال

    تحاول السحب، فتطلب منك المنصة تسليم الحساب أولاً، أو دفع رسوم تحويل بعملة رقمية أو ببطاقة هدايا. وما إن تفعل حتى تختفي المنصة، ولا تجد جهة تشكو إليها.

الدليل

الأسماء والمعرّفات والهاشات في هذا المثال مستبدلة

payment-notification.eml
From: no-reply@mawthooq-pay.example
To: seller@example.com
Subject: [إيداع] أضيف 1,250.00 إلى رصيدك
Date: Thu, 12 Jun 2025 21:04:11 +0300
Received: from vps-04.hosting.example (203.0.113.41)
X-Mailer: PHPMailer 6.9.3Return-Path: root@vps-04.hosting.example# إشعار «إيداع» مرسل من root على سيرفر مستأجر، لا من بنك ولا من مزوّد دفع

ما ظهر

عملية نصب مؤكدة منصة وسيط مفبركة من أولها لآخرها: واجهة مبنية بأدوات ذكاء اصطناعي، وترتيب في نتائج البحث مدفوع بـSEO، ولوحة تحكم تُكتب أرصدتها باليد، وسيرفر بريد يرسل إشعارات الدفع. لا وساطة فيها، ولا حساب أمانة، ولا جهة تستطيع أن ترفع إليها شكوى.

النتيجة

الحساب معلَّم في تنبيه، والنطاق مُبلَّغ عنه لمزوّده. وقد عاد القالب نفسه بعدها باسم منصة أخرى وبالصفحات نفسها، ولهذا ننشر الأسلوب، لا الاسم وحده.

كيف تحمي نفسك

  • لا تثق بمنصة وسيط اختارها الطرف الثاني
  • ترتيب البحث لا يثبت شيئاً، فالإعلان والـSEO يُشتريان
  • إذا أصرّ على منصة واحدة بالتحديد، فهي الفخ
  • خدمة الوساطة الحقيقية لا تطلب عملات رقمية ولا بطاقات هدايا

استغلال OAuth في ديسكورد: حظر حساب بصمت

ما حدث

  1. الدعوة

    تصلك دعوة إلى سيرفر يبدو عادياً تماماً: مكان للحديث، أو مجتمع لعبة. ولا شيء فيه يوحي بأن ثمّة مشكلة.

  2. فخ التوثيق

    بعد دخولك، يطلب بوت توثيقاً عبر Discord OAuth لترى القنوات. وصفحة التصريح هي صفحة ديسكورد الحقيقية، وهذا أخطر ما فيها.

  3. الصلاحية التي تُحدث الضرر

    في قائمة الصلاحيات، بين identify و guilds، صلاحية ثالثة: guilds.join. وهذه وحدها تتيح للبوت إضافة حسابك إلى سيرفرات دون أن يسألك مرة أخرى.

  4. إضافة بصمت

    توافق، ثم تنصرف إلى شأنك. ويضيف البوت حسابك إلى سيرفرات يخالف محتواها سياسات ديسكورد، وأنت لم تضغط زر الانضمام ولم ترَ اسم السيرفر.

  5. حظر دائم

    تجد أنظمة ديسكورد حسابك في هذه السيرفرات فتعطّله نهائياً. ويأتي الرد على الاعتراض مبنياً على عضويات لم تخترها.

ما ظهر

استغلال نشط لا اختراق في هذه الحالة. فنظام OAuth يعمل على نحو صحيح، والضحية هي التي وافقت على صلاحية مدفونة في قائمة تبدو عادية. والنتيجة حظر دائم بسبب محتوى لم يره صاحب الحساب قطّ.

النتيجة

أُبلغ ديسكورد عن البوت والسيرفر فأُغلق السيرفر. أما الحسابات التي وصلت إلى الحظر فلم يَعُد منها شيء، فهذا النوع لا استرجاع له، وكل ما نستطيعه هو التحذير قبل الضغطة، وفكّ الربط بعدها.

كيف تحمي نفسك

  • اقرأ قائمة الصلاحيات قبل الموافقة، سطراً سطراً
  • لا تفتح روابط OAuth من سيرفر أو بوت لا تعرفه
  • التوثيق الحقيقي لا يحتاج إلى صلاحية تُدخلك إلى سيرفرات
  • تحقّق من التطبيقات المصرّح لها في إعدادات ديسكورد وافصل أي شيء لا تعرفه

ستيلر Blank Grabber مخفي داخل سبوفر فورتنايت

الدليل

الأسماء والمعرّفات والهاشات في هذا المثال مستبدلة

الملف
Perm_Spoofer.exe
MD5
00112233445566778899aabbccddeeff
الحمولة
blank.aes / Blank Grabber
triage.log
$ file Perm_Spoofer.exe
PE32 executable (GUI) Intel 80386, for MS Windows
$ md5sum Perm_Spoofer.exe
00112233445566778899aabbccddeeff  Perm_Spoofer.exepyi-windows-manifest-filename  Perm_Spoofer.exe.manifest# سبوفر مكتوب بلغة سكربت ومحزوم كملف تنفيذي: أول ما يثير الريبة
extract.log
$ python3 pyinstxtractor.py Perm_Spoofer.exe
[+] Processing Perm_Spoofer.exe
[+] Pyinstaller version: 2.1+
[+] Found 31 files in CArchive[+] blank.aes  ->  Blank Grabber (encrypted config)# ملف واحد داخل الحزمة كشف الحمولة كلها

ما حدث

  1. البلاغ الأول

    وصلنا بلاغ عن حساب يبيع أدوات غش لفورتنايت في سيرفرات ألعاب. وبدأ الفريق من الملف الذي كان يوزعه، لا من كلام الطرفين.

  2. الفحص الأولي

    فُتح الملف في بيئة معزولة ولم يُشغَّل. بصمة، ونوع الملف، والنصوص الظاهرة فيه، وهي الأساسيات التي تخبرك إن كان الملف ما يدّعيه أصلاً.

  3. استخراج الحمولة

    كان السبوفر حزمة PyInstaller، وبفكّها ظهر ٣١ ملفاً، وواحد منها كشف كل شيء.

ما ظهر

برمجية خبيثة مؤكدة ستيلر Blank Grabber مزروع داخل سبوفر HWID مزيف. يقرأ توكنات ديسكورد وكوكيز المتصفح وكلمات المرور المحفوظة ويرسلها إلى ويبهوك، وكل هذا قبل أن تظهر للمستخدم أي واجهة.

النتيجة

الموزّع معلَّم، والملف موثّق ببصمته. وعادت الحمولة نفسها بعد أسابيع باسم ملف آخر، فكشفتها البصمة في دقائق. والتوثيق هو ما يجعل المرة الثانية أسرع.

كيف تحمي نفسك

  • لا يُفتح ملف تنفيذي جاء من شخص، ولو كان صديقك
  • من يطلب منك إيقاف مضاد الفيروسات يعرف ما في ملفه
  • إذا شغّلته: اقطع الإنترنت، وغيّر كلمات المرور من جهاز آخر، وألغِ الجلسات

كيف يبدأ تحقيق

كل حالة مما سبق بدأت بتذكرة فيها ثلاثة أشياء. وكلما وصلت التذكرة كاملة كان الفحص أسرع وأدق.

  • الملف أو الرابط كما هو، دون أن تشغّله
  • المحادثة كاملة، لا المقطع الذي يخدم طرفاً واحداً
  • إيصال التحويل، ووقته، والاسم الذي وصل إليه
افتح تذكرة في تنبيه انظر أنواع الاحتيال