يقوم المحتالون بنشر إعلانات لخدمات القرصنة على مواقع الويب الحكومية

نشر المحتالون إعلانات مختلفة لخدمات القرصنة على المواقع الرسمية للعديد من الولايات الأمريكية والمقاطعات والحكومات المحلية ، ووكالة فيدرالية ، بالإضافة إلى العديد من الجامعات.

تم تضمين الإعلانات في ملفات PDF تم تحميلها على مواقع الويب الحكومية الرسمية التابعة لحكومات ولايات كاليفورنيا ، ونورث كارولينا ، ونيو هامبشاير ، وأوهايو ، وواشنطن ، ووايومنغ ؛ مقاطعة سانت لويس في مينيسوتا ، مقاطعة فرانكلين في أوهايو ، مقاطعة ساسكس في ديلاوير ؛ بلدة جونز كريك في جورجيا ؛ والإدارة الفيدرالية للحياة المجتمعية.

قام المحتالون أيضًا بتحميل إعلانات مماثلة على مواقع الويب .edu للعديد من الجامعات: جامعة كاليفورنيا في بيركلي ، وستانفورد ، وييل ، وجامعة كاليفورنيا في سان دييغو ، وجامعة فيرجينيا ، وجامعة سان فرانسيسكو ، وجامعة كولورادو دنفر ، وكلية ميتروبوليتان المجتمعية ، وجامعة واشنطن ، وجامعة بنسلفانيا ، جامعة تكساس ساوث وسترن ، جامعة ولاية جاكسون ، كلية هيلزديل ، جامعة الأمم المتحدة ، جامعة ليهاي ، كليات المجتمع في سبوكان ، جامعة إمباير ستيت ، معهد سميثسونيان ، جامعة ولاية أوريغون ، جامعة باكنغهام في المملكة المتحدة ، وجامعة ديل نورتي في كولومبيا.

وبصرف النظر عن مواقع .gov و .edu ، فإن الضحايا الآخرين يشملون الصليب الأحمر الإسباني ؛ مقاول الدفاع ومصنع الطيران Rockwell Collins – جزء من Collins Aerospace وفرع لشركة الدفاع العملاقة Raytheon ؛ وشركة سياحة مقرها أيرلندا.

ترتبط ملفات PDF بعدة مواقع مختلفة ، بعضها خدمات إعلانية تدعي أنها قادرة على اختراق حسابات Instagram و Facebook و Snapchat ؛ خدمات الغش في ألعاب الفيديو ؛ والخدمات لإنشاء متابعين وهميين.

قراءة ملف PDF واحد “أفضل طريقة لـ Hack Insta 2021”. “إذا كنت تتطلع إلى اختراق حساب Instagram (سواء كان حسابك الذي تم قفله أو صديقك) ، فإن InstaHacker هو المكان المناسب للبحث عنه. نحن ، في InstaHacker ، نوفر لمستخدمينا حلول اختراق سهلة على Instagram آمنة وخالية تمامًا من أي نوايا خبيثة [sic throughout]. “

تحتوي بعض المستندات على تواريخ تشير إلى أنها ربما كانت متصلة بالإنترنت منذ سنوات.

تم العثور على هذه الإعلانات من قبل جون سكوت رايلتون ، كبير الباحثين في Citizen Lab. ليس من الواضح ما إذا كانت المواقع التي وجدها – وقد قمنا بإدراجها – هي قائمة كاملة بالمواقع المتأثرة بحملة البريد العشوائي الضخمة هذه. وبالنظر إلى عدد مواقع الويب التي تعرض إعلانات متشابهة جدًا ، فقد تكون المجموعة أو الفرد نفسه وراءها جميعًا.

“تحميلات SEO PDF مثل العدوى الانتهازية التي تزدهر عندما يتم قمع نظام المناعة لديك. تظهر عندما يكون لديك خدمات مهيأة بشكل خاطئ ، CMS غير مصحح [content management system] قال سكوت رايلتون:

في حين أن هذه الحملة تبدو معقدة وضخمة وفي نفس الوقت تبدو غير ضارة على ما يبدو لعبة تحسين محركات البحث للترويج لخدمات الاحتيال ، كان من الممكن أن يستغل المتسللون الخبثاء نفس العيوب لإحداث المزيد من الضرر ، وفقًا لسكوت رايلتون.

قال: “في هذه الحالة ، تحتوي ملفات PDF التي حمّلوها على نص يشير إلى خدمة احتيال قد تكون ضارة أيضًا على حد علمنا ، لكن من الممكن جدًا أن يكونوا قد حملوا ملفات PDF بمحتويات ضارة”. “أو روابط ضارة”.

قال Zee Zaman ، المتحدث باسم وكالة الأمن السيبراني الأمريكية ، CISA إن الوكالة “على دراية بالتنازلات الواضحة لبعض المواقع الحكومية والجامعية لاستضافة البريد العشوائي لتحسين محركات البحث (SEO). نحن ننسق مع الكيانات التي يحتمل أن تتأثر ونقدم المساعدة حسب الحاجة “.

قامت TechCrunch بفحص بعض مواقع الويب المُعلن عنها في ملفات PDF ، ويبدو أنها جزء من مخطط معقد لتوليد الأموال من خلال النقر الاحتيالي. يبدو أن مجرمي الإنترنت يستخدمون أدوات مفتوحة المصدر لإنشاء نوافذ منبثقة للتحقق من أن الزائر إنسان ، لكنهم في الواقع يدرون الأموال في الخلفية. تشير مراجعة الكود المصدري لمواقع الويب إلى أن خدمات القرصنة كما هو معلن عنها مزيفة على الأرجح ، على الرغم من أن أحد المواقع على الأقل يعرض صور الملف الشخصي وأسماء الضحايا المزعومين.

أخبر العديد من الضحايا TechCrunch أن هذه الحوادث ليست بالضرورة علامات على وجود خرق ، بل هي نتيجة لاستغلال المحتالين لخلل في النماذج عبر الإنترنت أو برنامج نظام إدارة المحتوى (CMS) ، والذي سمح لهم بتحميل ملفات PDF على مواقعهم.

قال ممثلو ثلاثة من الضحايا – بلدة جونز كريك في جورجيا ، وجامعة واشنطن ، وكليات المجتمع في سبوكان – إن المشكلة تتعلق بنظام إدارة المحتوى المسمى Kentico CMS.

ليس من الواضح تمامًا كيف تأثرت جميع المواقع. لكن ممثلي ضحيتين مختلفتين ، قسم الأسماك والحياة البرية في كاليفورنيا وجامعة باكنغهام في المملكة المتحدة ، وصفوا تقنيات تبدو متشابهة ، لكن دون ذكر Kentico.

قال ديفيد بيريز ، أخصائي الأمن السيبراني في إدارة الأسماك والحياة البرية بكاليفورنيا ، لموقع TechCrunch: “يبدو أن شخصًا خارجيًا قد استغل إحدى آليات الإبلاغ لدينا لتحميل ملفات PDF بدلاً من الصور”.

يحتوي القسم على العديد من الصفحات حيث يمكن للمواطنين الإبلاغ عن مشاهدة الحيوانات المصابة والصيد الجائر ، من بين أمور أخرى. قال نائب مدير قسم الاتصالات جوردان ترافيرسو إن هناك نموذجًا خاطئًا في الصفحة للإبلاغ عن الخفافيش المريضة أو الميتة ، لكن الموقع “لم يتم اختراقه بالفعل” وتم حل المشكلة وإزالة الوثائق.

قال روجر بيركنز ، المتحدث باسم جامعة باكنجهام ، إن “هذه الصفحات ليست نتيجة القرصنة ولكنها” صفحات سيئة “قديمة ناتجة عن استخدام أحد النماذج – إنها في الأساس محتوى غير مرغوب فيه وهي الآن في طور التكون إزالة […] كان هناك شكل مواجهة للجمهور (لم يعد موجودًا) استفاد منه هؤلاء الأشخاص “.

أخبر توري بيتيس ، المتحدث باسم جمعية مفوضي الحرائق بواشنطن ، إحدى الوكالات المتضررة ، موقع TechCrunch أنه تمت إزالة الملفات. قالت بيتيس إنها لم تكن متأكدة مما إذا كانت المشكلة تتعلق بـ Kentico ، وأن “الموقع لم يتم اختراقه ، ومع ذلك ، كانت هناك ثغرة أمنية كانت تسمح سابقًا للأعضاء الجدد بتحميل الملفات إلى حساباتهم قبل اكتمال الملف الشخصي.”

قالت جينيفر تشابمان ، كبيرة مديري الاتصالات في بلدة جونز كريك ، “لقد عملنا مع الشركة المضيفة لدينا لإزالة ملفات PDF المعنية وحل المشكلة”.

قالت آن موشر ، مسؤولة الشؤون العامة في إدارة الحياة المجتمعية ، إن الصفحات “أُزيلت”.

قالت ليزلي سيبوكا ، المدير المساعد لاتصالات الجامعة في جامعة كاليفورنيا سان دييغو ، إنه “تم تحميل ملفات PDF غير مصرح بها على هذا الموقع. تمت إزالة الملفات وتم إجراء تغييرات لمنع المزيد من الوصول غير المصرح به. كما طُلب من جميع المستخدمين الذين لديهم حق الوصول إلى موقع الويب إعادة تعيين كلمات المرور الخاصة بهم “.

قال فيكتور بالتا ، المتحدث باسم جامعة واشنطن ، “يبدو أن المشكلة نشأت من وحدة مكونة إضافية قديمة وهشاشة على موقع الويب ، مما سمح بتحميل المحتوى في مكان عام”. وأضاف المتحدث أنه “لا يوجد مؤشر على أي تأثير أعمق أو مساومة للوصول أو البيانات داخل النظام ذي الصلة.”

عزا بالتا القضية إلى Kentico.

قال Thomas Ingle ، مدير خدمات التكنولوجيا في كليات المجتمع في Spokane ، إن المشكلة كانت في Windows Server يقوم بتشغيل Kentico ، وأن “لدينا مستندات تم تحميلها (في هذه الحالة ملف PDF الذي أشرت إليه) تشير إليه الخوادم الأخرى التي تم الاستيلاء عليها. “

قالت جانيت جيلمور ، المتحدثة باسم جامعة كاليفورنيا في بيركلي: “تم العثور على ثغرة أمنية في هذا الموقع” ، في إشارة إلى الموقع حيث تم نشر إعلانات القرصنة ، وأنه تم تصحيح المشكلة “لمنع حدوث ذلك مرة أخرى في المستقبل. “

لم ترد بقية المنظمات المذكورة على استفسارات TechCrunch. لم يتم إرجاع العديد من المكالمات ورسائل البريد الإلكتروني إلى Kentico Software.

سيكون الضرر النهائي لحملة البريد العشوائي هذه وسيصبح في النهاية ضئيلًا ، ولكن امتلاك القدرة على تحميل المحتوى إلى مواقع الويب .gov سيكون أمرًا مثيرًا للقلق ، ليس فقط لمواقع gov.

لقد حدث بالفعل. في عام 2020 ، اخترق قراصنة إيرانيون موقعًا إلكترونيًا لمدينة أمريكية بهدف واضح يتمثل في تغيير فرز الأصوات. وأعرب مسؤولو الانتخابات عن قلقهم من اختراق قراصنة للمواقع الإلكترونية المتعلقة بالانتخابات.