ثلاثة توقيفات في Lagos
في نوفمبر 2020، أعلنت INTERPOL توقيف ثلاثة مشتبه بهم في Lagos بعد تحقيق استمر عامًا تحت اسم Operation Falcon. شاركت الشرطة النيجيرية و Group-IB في تعقب شبكة تستخدم البرامج الخبيثة والتصيد والاحتيال عبر البريد التجاري، المعروف اختصارًا باسم BEC. في هذا الاحتيال، يصبح التواصل المهني مدخلًا لتوجيه الأموال إلى وجهة يسيطر عليها المحتال. لم يقدم الإعلان التوقيفات باعتبارها نهاية الشبكة؛ أشار إلى مجموعات فرعية وأفراد آخرين ما زالوا طلقاء، وإلى نحو خمسين ألف جهة مستهدفة حددها التحقيق حتى ذلك الوقت.
أدوات كثيرة لانتظار فاتورة
وصف التحقيق سلسلة تبدأ بانتحال مؤسسات في الرسائل وتسجيل نطاقات وروابط للتصيد، ثم توزيع أدوات للدخول والمراقبة. بلغ عدد البرامج والأدوات المرتبطة بالحملة ستة وعشرين، بينها Agent Tesla و Loki وأدوات وصول عن بعد مثل Remcos و NanoCore. يسمح البقاء داخل الجهاز أو الحساب بمتابعة نشاط الجهة المستهدفة قبل إطلاق الاحتيال وتحويل الأموال. ولهذا لم ينحصر العمل في كتابة رسالة تطلب مبلغًا؛ سبقتها بنية لتوزيع البرمجيات وجمع المعلومات ومراقبة الأنظمة. نسب الإعلان هذه الأفعال إلى المشتبه بهم وشركائهم، مع استمرار التحقيق في المسؤوليات الفردية.
من يبني العنوان المزيف؟
عند إعلان Operation Falcon II لاحقًا، أوضحت Unit 42 أنها تتتبع ستة من الموقوفين الأحد عشر ضمن SilverTerrier، التسمية التي تستخدمها لتتبع جهات نيجيرية تستخدم البرمجيات الخبيثة. ركزت العملية على من يبنون البنية التقنية للاحتيال. ربط الباحثون أحد الأشخاص مباشرة بمئات النطاقات، وبخدمة استضافة وخادم أسماء يدعمان آخرين؛ وانتحلت نطاقات مرتبطة بالنشاط بنوكًا وجهات حكومية. ظهر بذلك تقسيم للعمل: يستطيع صاحب البنية تجهيز العناوين والأدوات لمشغّلين متعددين. تتبّع التحقيق صلات بين هؤلاء المشغّلين والبنية التي يعتمدون عليها، مع اختلاف المشاركين في الحملات التي يشملها اسم SilverTerrier.
اسم يعود إلى التحقيق
قدّم التقرير مثالًا على استمرار النشاط بعد توقيف سابق. وفق تحليل Unit 42، كان Onuegwu Ifeanyi Ephraim قد أُوقف في العملية الأولى، ثم عاد بعد إطلاق سراحه إلى تسجيل نطاق يرتبط ظاهريًا بخدمات تمويل COVID-19 في مارس 2021. ربطه الباحثون بأكثر من 144 نطاقًا استُخدمت أسماؤه وألقابه وعناوينه عند تسجيلها، وبخدمات يقدمها لجهات أخرى. ومع ظهور أدلة إضافية، أُوقف مجددًا في ديسمبر 2021. عرض التقرير هذا التسلسل ضمن الأدلة التي جمعتها فرق البحث والشرطة، مع بقاء المسؤولية عن الوقائع المنسوبة إليه موضع تحقيق قضائي.
ما كشفته الأجهزة المضبوطة
امتدت العملية الثانية من 13 إلى 22 ديسمبر 2021، وشملت Lagos و Asaba. كشف الفحص الأولي للأجهزة المضبوطة أكثر من ثمانمئة ألف مجموعة بيانات دخول تخص أهدافًا محتملة على حاسوب أحد المشتبه بهم. وكان آخر، وفق INTERPOL، يراقب محادثات ست عشرة شركة مع عملائها ويحوّل الأموال حين يحين موعد تنفيذ المعاملات. أعلنت المنظمة النتائج في يناير 2022، وبدأت مشاركة بيانات الأهداف ومتابعة حسابات مصرفية مرتبطة بالشبكة. كانت الحصيلة المعلنة أحد عشر توقيفًا وأدلة جديدة على مسار الاحتيال، مع استمرار تتبع الأموال والتحقيق الدولي.