فیشینگ هوشمندانه با نمایش پیام «تعلیق دامنه» برای فریب تیم‌های امنیتی و اسکنرها

محققان شرکت امنیتی KELA از یک زیرساخت فعال برای کلاهبرداری‌های مالی پرده برداشتند که با استفاده از تکنیک‌های فریبنده، تلاش می‌کند از دید تیم‌های امنیتی و ابزارهای اسکن پنهان بماند. این زیرساخت که با نام “Suspended” شناخته می‌شود، شامل صدها وب‌سایت جعلی است که با نمایش پیام‌های دروغین مبنی بر «تعلیق شدن» (Suspended)، سعی در دور زدن فرآیندهای امنیتی دارند.

تا تاریخ ۲۵ اکتبر ۲۰۲۶، تعداد ۲۴۸ دامنه مرتبط با کلاهبرداری‌های مالی و فیشینگ (Phishing) که هدف آن‌ها ۱۹۸ بانک و موسسه مالی بزرگ در ایالات متحده بوده، به این زیرساخت متصل شده‌اند. این عامل تهدید (Threat Actor) با کپی‌برداری از دامنه‌های رسمی سازمان‌ها، به‌ویژه در حوزه بانکداری تجاری، وب‌سایت‌های بسیار مشابهی ایجاد می‌کند.

تکنیک فریب: نمایش پیام تعلیق جعلی

آنچه این کمپین فیشینگ را از سایر حملات متمایز می‌کند، روش محافظت از زیرساخت آن است. برخلاف حالت معمول که تیم‌های امنیتی یا نهادهای قانونی با شناسایی سایت‌های مخرب، اقدام به گزارش و تعلیق (Takedown) آن‌ها می‌کنند، این مهاجمان مکانیزمی را طراحی کرده‌اند که خودِ سایت، پیام تعلیق را نمایش دهد.

این فرآیند به شرح زیر عمل می‌کند:

• بازدید اول (قربانی): وقتی قربانی برای اولین بار از لینک مخرب کلیک می‌کند، وب‌سایت جعلی (Cloned Website) را مشاهده کرده و با فریب‌های مختلف، اطلاعات حساس خود را وارد می‌کند.
• بازدید دوم (اسکنر یا تیم امنیتی): یک کیت فیشینگ (Phishing Kit) تعبیه شده در دامنه، آدرس IP بازدیدکننده را ثبت می‌کند. اگر همان IP مجدداً سایت را بررسی کند (مانند کاری که اسکنرهای امنیتی یا تیم‌های Takedown انجام می‌دهند)، به جای سایت اصلی، یک صفحه جعلی با پیام “Account Suspended” یا “Blocked” مشاهده می‌کند که شباهت زیادی به صفحات چالش Cloudflare دارد.

این استراتژی دقیقاً تیم‌هایی را هدف قرار می‌دهد که وظیفه شناسایی و بستن سایت‌های مخرب را دارند؛ زیرا آن‌ها تصور می‌کنند سایت قبلاً توسط مراجع قانونی یا شرکت‌های امنیتی مسدود شده است.

جزئیات فنی و دامنه حملات

محققان علاوه بر صفحات تعلیق جعلی، موارد دیگری از جمله پیام‌های “Sorry, you’ve been blocked”، صفحات خالی و هدایت خودکار به گوگل را نیز شناسایی کرده‌اند. همچنین استفاده از reCAPTCHA و اسکریپت‌هایی برای مسدود کردن ابزارهای توسعه‌دهنده مرورگر (Browser Developer Tools) برای کند کردن فرآیند تحلیل امنیتی مشاهده شده است.

این زیرساخت تنها محدود به بانک‌ها نیست و با کمپین‌های فیشینگ هدف قرار دادن صرافی‌های ارز دیجیتال (Cryptocurrency Exchanges) و خدمات دولتی در کشورهای بریتانیا، هلند، استرالیا و نیوزیلند نیز مرتبط است. با توجه به ظهور روزانه دامنه‌های جدید، این تهدید همچنان یک کمپین فعال و مداوم محسوب می‌شود.