كشفت Microsoft منظومة إجرامية صينية اللغة تعمل كسوق متكاملة لخدمات التصيد، وتربط بين مطوري أطقم التصيد وبائعي البنية التحتية والمهاجمين الذين يشترون هذه الخدمات لتنفيذ حملات واسعة النطاق. وقالت الشركة إن الجهات المرتبطة بهذه المنظومة سهّلت منذ يناير 2026 إرسال أكثر من مليار رسالة بريد إلكتروني ورسالة نصية إلى أكثر من 75 ألف مؤسسة حول العالم.
استهدفت الحملات مؤسسات في قطاعات الرعاية الصحية والخدمات المالية والتوزيع بالجملة وتقنية المعلومات، مع رصد ضحايا في اليابان والولايات المتحدة وأستراليا والهند. وبالتعاون مع جهات إنفاذ قانون وشركاء آخرين، ساعدت وحدة الجرائم الرقمية في Microsoft على تعطيل المطورين الرئيسيين والبنية التحتية الأساسية للمنظومة.
سوق تبيع الوصول والبنية التحتية
تتبعت Microsoft السوق غير المشروعة باسم Storm-3119، وهي تعمل وفق نموذج وسيط وصول أولي تحت اسم YAM Store. وتبيع السوق بيئات Microsoft وGoogle مخترقة أو جرى الحصول عليها بالاحتيال، بما في ذلك حسابات وتراخيص ومساحات تخزين ونطاقات تبدو مرتبطة بمؤسسات حقيقية أو سابقة.
وفق التحقيق، يستخدم المشغلون أدوات آلية للتعرف على بيئات سحابية قابلة للاستغلال، ثم يستولون على مستأجرات Microsoft 365 وAzure for Education ويديرونها عبر لوحات تحكم مبنية بتقنيات PHP وJava/Spring وCloudflare Workers. ويتيح هذا الوصول إعادة ضبط كلمات المرور، وتعيين تراخيص تعليمية، ومنح صلاحيات مرتفعة، ثم تحويل SharePoint وOneDrive إلى موارد استضافة قابلة للبيع.
كما توفر المنظومة إدارة للنطاقات وشهادات SSL وتوجيه المواقع عبر Cloudflare، وتبيع الموارد عبر واجهة آلية مع قبول مدفوعات من خلال Alipay وWeChat Pay وUSDT. وأشارت Microsoft إلى أن المشغلين أنشأوا أيضاً مؤسسات وهمية ومواقع داعمة للحصول على مستأجرات جديدة، مع احتمال استخدام محتوى مولد بالذكاء الاصطناعي ووثائق مزورة.
أطقم تصيد تعمل كخدمة
حددت Microsoft ثلاثة أطقم تصيد تباع عبر YAM Store: CoGUI، المعروف أيضاً باسم NX أو FA، وHaozi، المعروف باسم Phoenix، وIron Man System. وتتتبع الشركة المطورين والنشاط المرتبط بهذه الأطقم تحت اسم Storm-2990.
يحتوي Iron Man System على أكثر من 2,335 قالباً مخصصاً لأكثر من 139 دولة، وينتحل علامات وجهات حكومية ومالية وصحية وشرطية ومرتبطة بالنقل والتجزئة. وتدعم المنصة تقييد المحتوى حسب الموقع الجغرافي، وصفحات CAPTCHA مزيفة، وقوائم حظر وسماح لعناوين IP، وإعدادات لتجنب الرصد.
كما ترسل المنصة إشعارات فورية عبر Telegram عند إدخال الضحية بيانات الدخول أو البطاقة أو رموز التحقق. ويجمع الطقم البيانات عبر WebSocket، ما يسمح للمشغل بمتابعة تفاعل الضحية والتحكم يدوياً في الخطوة التالية. وتقول Microsoft إن هذه القدرات تجعل الأطقم أقرب إلى منتجات تصيد تجارية متعددة المستأجرين، لا إلى أدوات منفردة يستخدمها مهاجم واحد.
ما الذي يتغير عملياً؟
تكشف النتائج أن التصيد الحديث يعتمد على اقتصاد خدمات موزع: جهة توفر الحسابات والتخزين، وأخرى تطور القوالب، ومشترون ينفذون الحملات النهائية. هذا التقسيم يخفض حاجز الدخول أمام مهاجمين أقل خبرة، ويجعل إساءة استخدام البيئات السحابية الشرعية جزءاً من سلسلة توريد إجرامية يصعب ربطها بحملة واحدة.
لاحظت Microsoft أن النشاط اللاحق شمل سرقة بيانات الاعتماد، والتصيد عبر تدفق رمز الجهاز للحصول على رموز وصول، والاحتيال المالي باستخدام بيانات الدفع المسروقة. لذلك توصي المؤسسات بتدريب المستخدمين على مؤشرات الاستعجال والروابط غير المتوقعة، وتطبيق المصادقة متعددة العوامل المقاومة للتصيد أو مفاتيح المرور، وتقييد صلاحيات Global Administrator وفق مبدأ أقل صلاحية وZero Trust.
وتشمل الإجراءات الأخرى مراجعة إعدادات Exchange Online Protection وMicrosoft Defender for Office 365، وتفعيل Safe Links للمستلمين الداخليين، وقصر تسجيل وسائل المصادقة على مواقع وأجهزة موثوقة، وتمكين حماية الشبكة لمنع الوصول إلى النطاقات والمحتوى الضار. وتبقى الأرقام والتقييمات الواردة في التقرير مبنية على رصد Microsoft، بينما لم يوضح المصدر نطاق الإجراءات القانونية التفصيلية أو مدة استمرار التعطيل.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.