هجوم تصيّد جديد يستغل Google Sites وتوقيع DKIM لخداع المستخدمين وسرقة بياناتهم
تاريخ النشر: 23rd, April 2025 GMT
في تطور خطير وصف بأنه "هجوم تصيد احتيالي بالغ التعقيد"، نجح قراصنة في استغلال بنية جوجل التحتية لإرسال رسائل بريد إلكتروني تبدو حقيقية، توجه الضحايا إلى مواقع مزيفة مصممة لسرقة بيانات اعتمادهم.
وأكد نيك جونسون، المطور الرئيسي في مشروع Ethereum Name Service (ENS)، عبر سلسلة منشورات على منصة X، أن "أول ما يجب ملاحظته هو أن هذه الرسالة مُوقّعة فعليًا من بريد [email protected]، أي أنها صادرة فعلًا من جوجل.
تزعم الرسالة الاحتيالية صدورها عن جهة قانونية تطلب الاطلاع على محتوى غير محدد في حساب جوجل الخاص بالمستخدم، وتحثه على الضغط على رابط من نوع sites.google[.]com لـ "مراجعة ملفات القضية أو تقديم اعتراض".
لكن عند فتح الرابط، يُعرض للمستخدم صفحة مزيفة تُقلّد تصميم صفحة الدعم الفني الرسمية لجوجل، وتضم أزرارًا مثل "تحميل مستندات إضافية" أو "عرض تفاصيل القضية".
كما يبدو الضغط على أي من هذه الخيارات ينقل المستخدم إلى صفحة تسجيل دخول حقيقية، لكنها في الواقع مستضافة عبر Google Sites، وهو منتج قديم لا يفرض قيودًا أمنية كافية.
وأشار جونسون إلى أن: "خدمة sites.google.com هي منتج قديم يعود إلى ما قبل تشديد جوجل لإجراءاتها الأمنية، وتسمح باستضافة محتوى عبر نطاق google.com الفرعي، بما في ذلك السكربتات البرمجية المخصصة، ما يسهل إنشاء مواقع لسرقة بيانات الدخول."
تجاوز أدوات الحماية بخدعة "إعادة استخدام توقيع DKIM"واحدة من أكثر جوانب الهجوم خداعًا هي أن رأس الرسالة المسمى "Signed by" يظهر كـ accounts.google[.]com، على الرغم من أن رأس "Mailed by" يشير إلى نطاق مختلف تمامًا: fwd-04-1.fwd.privateemail[.]com.
ووفقًا لتحليل نشره خبراء في منصة EasyDMARC، فإن هذا الهجوم يعتمد على تقنية تُعرف باسم "إعادة استخدام توقيع DKIM" (DKIM Replay Attack). حيث يقوم المهاجم أولًا بإنشاء حساب جوجل جديد من نوع "me@domai"، ومن ثم يطور تطبيق OAuth يحمل اسمًا يتضمن الرسالة الاحتيالية كاملة. عند منح التطبيق صلاحيات لحساب "me@"، تقوم جوجل بإرسال تنبيه أمني إلى العنوان نفسه ، وتكون هذه الرسالة موقّعة فعليًا بمفتاح DKIM الخاص بجوجل.
بعد ذلك، يقوم المهاجم بإعادة توجيه نفس الرسالة عبر حساب على Outlook مع الحفاظ على توقيع DKIM، ما يمكنه من تجاوز فلاتر البريد الإلكتروني.
وترسل الرسالة بعد ذلك عبر خدمة SMTP مخصصة تُدعى Jellyfish، وتصل إلى بنية Namecheap PrivateEmail، حيث يتم تمريرها إلى بريد الضحية في Gmail.
قال جيراسيم هوفهانيسيان، المدير التنفيذي لـ EasyDMARC: "في هذه المرحلة، تصل الرسالة إلى صندوق الضحية وتبدو وكأنها صادرة فعليًا من جوجل، كما أن جميع اختبارات المصادقة مثل SPF وDKIM وDMARC تجتاز بنجاح."
وأضاف جونسون: "نظرًا لأن الحساب المُستخدم باسم 'me@'، فإن Gmail يعرض الرسالة وكأنها مرسلة إلى 'me'، وهو الاختصار الذي يستخدمه Gmail عند إرسال الرسائل إلى البريد الشخصي للمستخدم، ما يقلل من مؤشرات التحذير."
جوجل تتحرك وتغلق المسارردًا على استفسارات موقع The Hacker News، أكدت جوجل أنها أغلقت المسار الذي استُغل في الهجوم، مشددة على أن الشركة لا تطلب من المستخدمين مطلقًا مشاركة كلمات المرور أو رموز التحقق المؤقتة، ولا تتصل بهم مباشرة.
وقال متحدث باسم الشركة: "نحن على علم بهذا النوع من الهجمات الموجهة من جهة تهديد محددة، وقد طبقنا إجراءات حماية لإغلاق هذا المسار. في الوقت نفسه، نشجع المستخدمين على تفعيل التحقق الثنائي واستخدام مفاتيح المرور Passkeys، لما توفره من حماية قوية ضد هجمات التصيد."
هجمات تصيد وتجاوز أدوات الحمايةوتأتي هذه الواقعة بعد تسعة أشهر من كشف شركة Guardio Labs عن ثغرة في إعدادات الأمان الخاصة بشركة Proofpoint، استخدمها قراصنة لإرسال ملايين الرسائل المنسوبة زورًا إلى شركات كبرى مثل Best Buy وIBM وNike وDisney، وتجاوزوا بذلك تدابير المصادقة.
بالتزامن، رُصدت مؤخرًا زيادة في هجمات التصيّد التي تعتمد على مرفقات من نوع SVG (Scalable Vector Graphics)، حيث تُستخدم هذه الملفات لتضمين شيفرات HTML وJavaScript تؤدي بالمستخدم إلى صفحات تسجيل دخول مزيفة لمايكروسوفت أو جوجل فويس.
وأفادت شركة Kaspersky الروسية بأنها رصدت أكثر من 4,100 رسالة تصيّد تحتوي على مرفقات SVG منذ بداية عام 2025.
وقالت الشركة: "المهاجمون لا يكلون عن تجربة تقنيات جديدة لتفادي الكشف. فهم يتنوعون بين استخدام التحويل التلقائي للروابط أو تشويش النصوص، وأحيانًا يعتمدون على تنسيقات مرفقات غير تقليدية مثل SVG، الذي يتيح تضمين أكواد HTML وJavaScript داخل الصور."
المصدر: صدى البلد
كلمات دلالية: جوجل قراصنة المزيد من جوجل
إقرأ أيضاً:
تطور بقضية المتهم بقتل موظفي سفارة إسرائيل بواشنطن إلياس رودريغير
(CNN)-- من المقرر أن يمثل إلياس رودريغيز، المتهم بقتل موظفي السفارة الإسرائيلية خارج متحف يهودي في واشنطن، الشهر الماضي، أمام المحكمة في أوائل أغسطس/ آب، وفقًا لملف قُدّم للمحكمة، الأربعاء.
وستكون الجلسة بمثابة مراجعة إجرائية لسير القضية.
ولم تُوجّه هيئة محلفين كبرى لائحة اتهام إلى رودريغيز بعد، وهي عملية يُفترض أن تتم في غضون 30 يومًا من تاريخ اعتقاله، إذ مدّد القاضي المشرف على القضية هذا الموعد النهائي نظرًا للتهم المُعقّدة التي يواجهها، والتي يتطلب بعضها من الادعاء شرح دوافعه، بينما يُحدّد بعضها الآخر ما إذا كان سيواجه عقوبة الإعدام.
وإذا وُجّهت لائحة اتهام إلى رودريغيز قبل جلسة الاستماع في 8 أغسطس، فقد يُغيّر موعد الجلسة مرة أخرى.
وكان من المقرر في البداية أن يمثل رودريغيز أمام جلسة استماع تمهيدية في المحكمة الفيدرالية في واشنطن، منتصف يونيو، لكنه تنازل عن تلك الجلسة، ولم يُقدّم بعدُ إقرارًا رسميًا بالذنب.
تفاصيل صادمة يكشفها تحقيق CNN عن المشتبه به بقتل موظفي سفارة إسرائيل بواشنطن إلياس رودريغيزالمتهم بقتل موظفَين في السفارة الإسرائيلية لديه تاريخٌ من النشاط السياسي، بما في ذلك إدانة نفوذ الشركات، والإجراءات العسكرية الأمريكية، وانتهاكات الشرطة، وفقًا لمراجعة أجرتها شبكة CNNلمقابلات وكتابات مرتبطة به.
في صفحة GoFundMe لعام 2017، والتي تضمنت صورته، وصفت شهادة منسوبة إلى إلياس رودريغيز كيف أشعلت مهمة والده في العراق، عندما كان في الحادية عشرة من عمره، شرارة صحوته السياسية وحشدته لمنع "جيل آخر من الأمريكيين العائدين إلى ديارهم من حروب الإبادة الجماعية الإمبريالية".
وتُجري السلطات تحقيقاتٍ في أسباب إطلاق النار في وقتٍ متأخر، الأربعاء، خارج متحف كابيتال اليهودي، حيث يُقال إن رودريغيز، البالغ من العمر 31 عامًا من شيكاغو، أخرج مسدسًا وقتل زوجين شابين، يارون ليشينسكي وسارة ميلغريم. صرخ قائلا: "الحرية لفلسطين"، بينما احتجزته الشرطة.
في شكوى قُدِّمت إلى المحكمة الفيدرالية، الخميس، اتهم رودريغيز بالقتل وتهمًا أخرى، قال المدعون إنه أخبر الشرطة أنه استلهم فكرته من طيار أمريكي توفي العام الماضي بعد أن أشعل النار في نفسه أمام السفارة الإسرائيلية في واشنطن العاصمة، للفت الانتباه إلى الحرب في غزة، واصفًا إياه بـ"الشهيد".
كما تُحقق الشرطة في رسالة وُجِّهت إلى حساب على منصة إكس (تويتر سابقا) بعد وقت قصير من إطلاق النار، ويبدو أنها تحمل توقيع رودريغيز، تدعو إلى الانتقام العنيف ردًا على الحرب في غزة - وهي رسالة نُشرت مرارًا وتكرارًا على هذا الحساب.
وأظهرت مراجعة أجرتها شبكة CNN لحساب @kyotoleather أنه مرتبط بحسابات أخرى تحمل اسم وصورة رودريغيز، ويتضمن ردودًا يخاطبه فيها مستخدمون آخرون باسمه.
وأعربت الرسالة المنشورة، الأربعاء، عن الغضب إزاء "الفظائع التي يرتكبها الإسرائيليون ضد فلسطين"، وأشارت إلى "العمل المسلح" كشكل مشروع للاحتجاج - وهو "التصرف العقلاني الوحيد".
وجاء في الرسالة: "ماذا يُمكن قوله أكثر في هذه المرحلة عن نسبة الأطفال المُشوّهين والمُحترقين والمُنفجرين؟ نحن الذين سمحنا بحدوث هذا لن نستحق أبدًا غفران الفلسطينيين".
نُشرت الرسالة على إكس حوالي الساعة العاشرة مساء الأربعاء، ولم يتضح من نشرها أو ما إذا كانت منشورًا مُجدولًا مسبقًا قبل الحادث.
وفي السنوات التي سبقت اعتقاله في واشنطن العاصمة هذا الأسبوع، تحالف رودريغيز علنًا مع عدة جماعات يسارية في منطقة شيكاغو.
وسعت صفحة GoFundMe، التي أُنشئت في أغسطس 2017، لجمع التبرعات ليتمكن رودريغيز من حضور مؤتمر المقاومة الشعبي في واشنطن العاصمة، وهو فعالية احتجاجية مُناهضة لترامب.
وفي شهادة نُسبت إلى رودريغيز، كتب أنه "كان في الحادية عشرة من عمره عندما جلس والدي، وهو جندي في الحرس الوطني، مع عائلتنا ليُخبرنا أنه سيُرسل إلى العراق"، ووصف انزعاجه عندما عاد والده من مهمته حاملاً "تذكارات"، من بينها رقعة مُمزقة من زي جندي عراقي، وكتب أنه شعر بنفور من السياسة الأمريكية بسبب الحرب.
ورفضت والدة رودريغيز، التي تواصلت معها CNN، التعليق على هذه القصة، وأكد الحرس الوطني الأمريكي لـ CNN أن رجلاً عُرف في السجلات العامة بأنه والد رودريغيز كان عضوًا في الحرس الوطني للجيش من عام 2005 إلى عام 2012، وخدم في العراق من أكتوبر 2006 إلى سبتمبر 2007.
وفي أكتوبر 2017، حضر رودريغيز مظاهرة أمام منزل عمدة شيكاغو آنذاك، رام إيمانويل، احتجاجًا على إطلاق النار من قبل الشرطة وعلى محاولة نقل المقر الرئيسي الثاني لشركة أمازون إلى المدينة.
قال رودريغيز لصحيفة "ليبراسيون"، وهي صحيفة صادرة عن حزب الاشتراكية والتحرير، والتي عرّفت عنه كعضو فيها آنذاك إن "الثروة التي جلبتها أمازون إلى سياتل لم تُشارك مع سكانها السود"، وأضاف أن "تبييض [أمازون] لمدينة سياتل عنصريٌّ بنيويّ، ويُشكّل خطرًا مباشرًا على جميع العاملين فيها".
وفي يناير 2018، شارك رودريغيز في احتجاج آخر ضد أمازون في وسط مدينة شيكاغو، نظمته منظمة "أنسر شيكاغو"، وهي جماعة مناهضة للحرب، وصرح رودريغيز لصحيفة "نيوزي" في مقابلة مصورة: "إذا تمكنا من إبعاد أمازون، فسيكون ذلك نصرًا كبيرًا، ويُظهر قوة تكاتف الناس، وقدرتهم على رفض أمور مثل التحديث الحضري".
وفي بيان لشبكة CNN، صرح ائتلاف "أنسر" أن المنظمة لا تضم أعضاءً أفرادًا، وأنهم لا يرتبطون برودريغز بأي شكل من الأشكال.
وأضاف الائتلاف: "يبدو أنه حضر احتجاجات أنسر قبل 7 سنوات، ولسنا على علم بأي اتصال له منذ ذلك الحين. من الواضح أننا لا علاقة لنا بهذا الحادث ولا ندعمه".
وقال نائب مدير مكتب التحقيقات الفيدرالي، دان بونغينو، في منشور على موقع "إكس"، إن "مكتب التحقيقات الفيدرالي على علم بكتابات يُزعم أن المشتبه به كتبها، ونأمل أن نتلقى تحديثات بشأن صحتها قريبًا جدًا".
تصف الرسالة التي تحمل اسم رودريغيز غضب الكاتب إزاء ما يُرى أنه تقاعس من جانب الحكومات الغربية والعربية عن وقف حرب إسرائيل على غزة، وتدعو إلى العمل المسلح، الذي تُشبّهه بأشكال الاحتجاج السلمي.
وجاء في الرسالة: "العمل المسلح ليس بالضرورة عملاً عسكريًا... عادةً ما يكون مسرحًا واستعراضًا، وهي سمة مشتركة مع العديد من الأعمال غير المسلحة".
وذكرت الرسالة أنه قبل سنوات، ربما لم يكن الأمريكيون ليفهموا هجومًا عنيفًا باسم فلسطين - "كان مثل هذا العمل ليبدو غير مفهوم، وجنونيًا"، ولكن في ظل تزايد الضغط الشعبي لإنهاء الحرب في غزة، كتب الكاتب: "هناك العديد من الأمريكيين الذين يعتبرون هذا العمل واضحًا للغاية، وهو، بطريقة غريبة، التصرف العقلاني الوحيد"، واختتمت الرسالة برسالة إلى والدي الكاتب وشقيقه، ووقعها "إلياس رودريغيز".
مظاهرات حاشدة في إيران تطالب بالرد على إسرائيل والثأر لدماء القادة