محققان امنیتی اخیراً جزئیات یک عملیات کلاهبرداری (Scam) بسیار گسترده را فاش کرده‌اند که با جعل هویت کارکنان پشتیبانی فنی مایکروسافت فعالیت می‌کند. این گروه از یک سیستم توزیع ترافیک (Traffic Distribution System یا TDS) مخرب برای هدایت کاربران به مقاصد ناامن استفاده می‌کند.
استفاده از زیرساخت‌های قانونی برای اهداف مخرب
بر اساس گزارش منتشر شده توسط Infoblox، ابزاری به نام Help TDS از سال ۲۰۱۷ برای مدیریت و تغییر مسیر ترافیک وب به سمت مقاصد مورد نظر مهاجمان استفاده می‌شود. اگرچه این ابزارها در ابتدا برای مدیریت ترافیک تبلیغات دیجیتال طراحی شده بودند، اما اکنون توسط عوامل تهدید (Threat Actors) برای اجرای حملات Malvertising، حملات باج‌افزاری (Ransomware) و سایر تهدیدات سوءاستفاده می‌شوند.
در این عملیات خاص، قربانیان با هشدارهای امنیتی جعلی مواجه می‌شوند که آن‌ها را ترغیب می‌کند با یک شماره تلفن تماس بگیرند. این شماره‌ها به مراکز فراخوانی (Call Centers) متصل می‌شوند که توسط مجرمان مدیریت می‌شوند، نه توسط مایکروسافت. هدف نهایی، متقاعد کردن قربانی برای نصب ابزارهای دسترسی از راه دور (Remote Desktop) مانند UltraViewer است تا مهاجمان بتوانند کنترل کامل سیستم را در دست بگیرند.
زیرساخت‌های پیچیده و تغییر سریع C2
- سوءاستفاده از Cloudflare: مهاجمان با ایجاد صدها صفحه جدید در روز از طریق Cloudflare Pages، بیش از ۲۰,۰۰۰ دامنه مخرب را در یک بازه ۶ ماهه ایجاد کرده‌اند.
- مدیریت C2 از طریق تلگرام: این گروه برای تغییر بسیار سریع دامنه‌های فرماندهی و کنترل (Command-and-Control یا C2)، از کانال‌های تلگرام استفاده می‌کند؛ به طوری که دامنه‌ها هر ۵ دقیقه یک بار تغییر می‌کنند.
- مدل همکاری (Affiliate Model): این سیستم به گروه‌های بدافزاری شناخته‌شده‌ای مانند DollyWay و Balada Injector اجازه می‌دهد تا ترافیک خود را از طریق این شبکه کلاهبرداری هدایت کنند.
محققان خاطرنشان کردند که این عملیات از تکنیک‌های Living-off-the-land استفاده می‌کند تا پس از ورود به سیستم، بتواند بارها از کاربر سوءاستفاده کند. همچنین، استفاده گسترده از حساب‌های مختلف Cloudflare و الگوریتم‌های تولید دامنه (DGA)، ردیابی و مسدودسازی فعالیت‌های آن‌ها را بسیار دشوار کرده است.
