أكثر من مئة نطاق
في الثالث من أكتوبر 2024، أعلنت Microsoft إجراءً قضائيًا أتاح لها الاستيلاء على 66 نطاقًا استخدمتها Star Blizzard في هجمات إلكترونية. وبالتوازي، صادرت وزارة العدل الأمريكية 41 نطاقًا إضافيًا منسوبة إلى الجهة نفسها. جاءت العملية بعد رصد استهداف أكثر من ثلاثين مؤسسة من المجتمع المدني بين يناير 2023 وأغسطس 2024، بينها جهات صحفية وبحثية ومنظمات غير حكومية. أخرج التحرك جزءًا من البنية المستخدمة لخداع الضحايا من سيطرة المشغّلين، وفتح مسارًا قانونيًا لتعطيل نطاقات لاحقة. لكن المجموعة كانت قد أظهرت قدرتها على الانتقال سريعًا إلى عناوين جديدة كلما انكشفت البنية التي تعمل بها.
أسماء مألوفة أمام الضحية
وراء تلك النطاقات، تابعت الشركة أسلوبًا يعتمد على دراسة الشخص المستهدف وانتحال جهة يثق بها. كان الهدف المتكرر الحصول على بيانات حسابات البريد من باحثين في الشؤون الروسية ومسؤولين سابقين وجهات تقدم دعمًا لأوكرانيا. رصدت Microsoft استهداف 82 من عملائها منذ يناير 2023، ما أتاح تتبع استمرارية المحاولات وتخصيص الرسائل لأصحابها. نشرت Citizen Lab و Access Now بحثًا عن النشاط في أغسطس 2024، وواصل الفريقان بعد النشر التحقيق في وقائع إضافية. هكذا تتابع الكشف والتعطيل، بينما بقيت العلاقة التي يصنعها المهاجم مع المتلقي موردًا يمكن إعادة بنائه، حتى حين يفقد عنوانًا أو خادمًا.
دعوة فيها عطل مقصود
في منتصف نوفمبر 2024، رصدت Microsoft دعوة مختلفة: رسالة تنتحل مسؤولًا حكوميًا أمريكيًا وتعرض الانضمام إلى مجموعة WhatsApp عن مبادرات تدعم منظمات أوكرانية. أُرفق بها رمز QR، وهو رمز مربع يُمسح بكاميرا الهاتف، لكنه صُمم كي لا يعمل. منح العطل المرسل فرصة لانتظار رد من المتلقي، ثم إرسال رسالة ثانية تبدو حلًا لمشكلة تقنية عارضة. احتوت الثانية رابطًا مختصرًا يقود إلى صفحة تعرض رمزًا آخر. بقيت بداية العملية Phishing، أي تصيد يستخدم المراسلات لخداع المتلقي واستدراجه، لكن الوجهة المطلوبة انتقلت من حساب البريد الإلكتروني إلى حساب في تطبيق للمراسلة، مع الحفاظ على الحوار القصير الذي يمنح الرابط سياقه.
جهاز جديد داخل الحساب
على الصفحة الأخيرة، كان الرمز يؤدي وظيفة ربط جهاز بحساب WhatsApp، رغم تقديمه باعتباره مدخلًا إلى المجموعة. إذا اتبع المستخدم التعليمات، استطاع المشغّل الوصول إلى الرسائل عبر الجهاز المرتبط ونسخها خارج الحساب بأدوات متاحة للمتصفح. صار الفعل الذي يظنه المتلقي انضمامًا إلى نقاش تفويضًا لوصول جديد إلى حسابه. قالت Microsoft إن الحملة كانت محدودة وبدا أنها انتهت أواخر نوفمبر، ورجحت أن تغير الأسلوب جاء استجابة لانكشاف العمليات السابقة. وبين إجراء أكتوبر ورسائل نوفمبر، ظهرت حدود تعطيل البنية حين يستطيع المشغّل إعادة صياغة الطلب الموجه إلى الإنسان.