سوءاستفاده از زنجیره اعتماد: چگونه زیرساخت‌های معتبر به مسیرهای تحویل حملات تبدیل می‌شوند؟

زیرساخت‌های معتبر و قابل اعتماد، اکنون به یک مکانیسم قدرتمند برای تحویل حملات توسط مهاجمان تبدیل شده‌اند. مهاجمان با بهره‌برداری از اعتمادی که این پلتفرم‌ها در طول سال‌ها ایجاد کرده‌اند، از آن‌ها به عنوان پروکسی (Proxy) برای اهداف مخرب استفاده می‌کنند. تحقیقات اخیر Cisco Talos نشان می‌دهد که این روند در پلتفرم‌های مختلف از جمله ابزارهای همکاری (Collaboration)، مدیریت فایل، پرداخت و حتی پلتفرم‌های مبتنی بر هوش مصنوعی (AI) به شدت شتاب گرفته است.

سوءاستفاده از اعلان‌های سفارش (Order Notification Abuse)

مهاجمان با تحلیل کمپین‌های مربوط به شرکت‌هایی مانند Staples و Dell، روش جدیدی را شناسایی کرده‌اند. در این حملات، هویت فرستنده جعلی نیست؛ بلکه محتوای داخل ایمیل‌های رسمی و معتبر، دستکاری شده است. مهاجمان با تزریق اطلاعات مخرب در فیلدهایی که معمولاً حاوی اطلاعات حمل‌ونقل (Shipping) یا صورت‌حساب (Billing) هستند، کاربر را فریب می‌دهند.

• روش حمله: به جای استفاده از لینک‌های مشکوک، مهاجم یک شماره تلفن جعلی را در فیلدهای سفارش قرار می‌دهد.
• هدف: ایجاد حس فوریت (Urgency) در مورد یک خرید گران‌قیمت و وادار کردن قربانی به تماس تلفنی با یک مرکز پشتیبانی کنترل‌شده توسط مهاجم.
• چالش امنیتی: از آنجایی که ایمیل‌ها از پروتکل‌های احراز هویت مانند DKIM و DMARC عبور می‌کنند، سیستم‌های امنیتی آن‌ها را معتبر تشخیص می‌دهند، در حالی که محتوای داخل آن‌ها مخرب است.

سوءاستفاده از ثبت‌نام و List Bombing

تکنیک List Bombing که پیش‌تر عمدتاً برای ایجاد اختلال (DoS) در صندوق ورودی استفاده می‌شد، اکنون به ابزاری برای تحویل محتوای مخرب تبدیل شده است. مهاجمان با وارد کردن رشته‌های مخرب (Hostile Strings) در فرم‌های عمومی ثبت‌نام یا پروفایل، باعث می‌شوند که این داده‌ها در ایمیل‌های خوش‌آمدگویی یا تاییدیه خودکار پلتفرم منعکس (Reflect) شوند. در واقع، پلتفرم به عنوان یک حامل ناخواسته، محتوای مهاجم را با اعتبار برند خود به مقصد می‌رساند.

سوءاستفاده از گزارش‌های خطا (Bounce Abuse)

در این روش، مهاجمان از فرآیند گزارش‌های عدم تحویل پیام (DSN یا NDR) استفاده می‌کنند. وقتی یک پیام با خطا مواجه می‌شود، سیستم‌های ایمیل گزارش‌هایی ارسال می‌کنند که ممکن است حاوی بخشی از پیام اصلی یا پیوست‌ها باشد. مهاجمان با طراحی حملاتی که باعث ایجاد این خطاها می‌شود، محتوای فیشینگ خود را در قالب یک گزارش فنی و اداری (Administrative) ارسال می‌کنند تا احتمال تعامل کاربر با آن افزایش یابد.

ضرورت تغییر در استراتژی‌های دفاعی

این حملات نشان می‌دهند که احراز هویت فرستنده (Sender Authentication) تنها بخشی از مسئله است. پروتکل‌های SPF، DKIM و DMARC تنها تایید می‌کنند که پیام از زیرساخت مورد نظر ارسال شده است، اما تضمینی برای سلامت محتوای داخل آن ارائه نمی‌دهند. برای مقابله با این تهدید، سازمان‌ها باید:

• اعتبارسنجی محتوا (Content-aware validation): هر داده‌ای که از سمت کاربر وارد سیستم شده و قرار است در قالب یک ایمیل خودکار منعکس شود، باید به عنوان داده غیرقابل اعتماد در نظر گرفته شود.
• بازبینی دقیق فیلدها: پلتفرم‌ها باید فیلدهایی مانند نام، آدرس و یادداشت‌های سفارش را قبل از رندر شدن در قالب‌های ایمیل، از نظر وجود شماره تلفن‌های مشکوک، URLها یا زبان‌های ایجاد فوریت، بررسی کنند.
• بازرسی عمیق در Gatewayها: درگاه‌های امنیتی ایمیل باید علاوه بر بررسی فرستنده، محتوای رندر شده (Rendered Content) و اشیاء MIMEهای تودرتو را نیز برای شناسایی الگوهای فیشینگ تحلیل کنند.