احتيال جويل باغ بالعملات الرقمية ينكشف: 580,000 ملف تعريف مسروق خلف بورصات وهمية

مجموعة قرصنة تقضي نهارها في التجسس على الحكومات وليلها في تشغيل منصات عملات رقمية مزيفة تبدو وكأنها مشهد من فيلم سرقة. لكن وفقًا لبحث جديد من فريق سيمانتيك التابع لشركة برودكوم، هذا هو بالضبط نمط عمل “جول بج”، المجموعة الصينية المأجورة للقرصنة التي تلفت الأنظار الآن لمزجها بين التجسس المرتبط بالدول وعمليات احتيال واسعة النطاق في العملات الرقمية تستهدف مستخدمي العملات الرقمية العاديين.

أبرز النقاط الرئيسية

العمليات المزدوجة لمجموعة جول بج

تعمل جول بج كمجموعة مرتزقة تبدو مرتاحة بنفس القدر في سرقة أسرار الدول وفي سحب أموال محافظ العملات الرقمية. يصف باحثو سيمانتيك مجموعة تتنقل بين التجسس الحكومي والاحتيال في العملات الرقمية “بنفس سهولة التنقل بين علامات التبويب في المتصفح”، وتدير خطي العمل معًا من لوحة تحكم واحدة مبنية خصيصًا.

أنشطة التجسس الحكومي

في جانب التجسس، اخترقت جول بج منظمات حكومية وعسكرية واتصالات في جميع أنحاء آسيا والشرق الأوسط. كانت أبرز عملياتها موجهة ضد حكومة في الشرق الأوسط عبر اختراق منصة استضافة ويب مشتركة يديرها مزود الاتصالات وخدمات الشبكات المملوك للدولة، بدلًا من مهاجمة الجهات الحكومية واحدة تلو الأخرى. وبمجرد الدخول، زرع المهاجمون برنامجًا نصيًا على منصة البريد الإلكتروني الويب الذي سجل موظفي الحكومة بهدوء في نظام التتبع الخاص بهم، وسرق ملفات تعريف الارتباط الخاصة بتسجيل الدخول، وقدّم تحديثات مزيفة لبرنامج Adobe Flash تخفي برمجيات خبيثة.

وشملت حملات أخرى أجهزة استخبارات بحرية وشرطة وجيش في جنوب شرق آسيا، إلى جانب شركة تصنيع أمريكية كبرى في قطاعي الصناعة والفضاء. ووفقًا لإحصاءات سيمانتيك، جمعت المجموعة أكثر من 580 ألف مجموعة كاملة من ملفات تعريف الارتباط الخاصة بالمتصفح، وحوالي 2300 نص بريد إلكتروني مُسرَّب بالكامل، وآلاف بيانات الاعتماد المسروقة، مما يشمل آلاف الضحايا المميزين.

قال ديك أوبراين، محلل الاستخبارات الرئيسي لفريق سيمانتيك للتهديدات، إن النمط يشير بقوة إلى الصين، لكنه توقف قبل رسم خط مباشر. وقال: “نظرًا لموقعهم واستهدافهم، فإن السيناريو الأكثر ترجيحًا هو أنهم يعملون لصالح الصين”، مضيفًا أن التجسس لصالح حكومة أخرى سيكون “مغامرة خطيرة للغاية” لمجموعة مثل جول بج.

مخطط الاحتيال في العملات الرقمية

عندما لا تتجسس على الحكومات الأجنبية، تحوّل جول بج بنيتها التحتية نحو مستخدمي العملات الرقمية العاديين. وجدت سيمانتيك أن المجموعة تدير أعمال احتيال مالي بحجم مذهل، ويقول أوبراين إن هذا هو أكبر دليل على أن هذا ليس مشروعًا جانبيًا. وأضاف: “الحجم الهائل لأعمال الاحتيال هو أكبر دليل، إنهم لا يجنون القليل من المال الإضافي من خلال عمل إضافي في الليل”.

تقنيات وأهداف الاحتيال في العملات الرقمية

يعتمد تشغيل جول بج للعملات الرقمية بشكل كبير على الأتمتة والذكاء الاصطناعي لبناء مواقع تداول مزيفة مقنعة على نطاق واسع، ثم يجذب الزيارات إليها من خلال التلاعب بترتيب نتائج البحث.

صفحات تبادل مزيفة مولّدة بالذكاء الاصطناعي

تستخدم المجموعة أدوات الذكاء الاصطناعي لتوليد آلاف صفحات التصيد الاحتيالي المتعلقة بالعملات الرقمية والمراهنات الرياضية ومواضيع أخرى، وتُدار جميعها عبر أسطول من 44 خادم إدارة محتوى، وفقًا لسيمانتيك. ولرفع هذه الصفحات المزيفة في نتائج البحث، تنشر جول بج روبوتات نقر احتيالية وتصفّي زواحف الويب ببرنامج نصي بلغة PHP، بحيث ترى الماسحات الآلية محتوى غير ضار بينما يتم توجيه الزوار الحقيقيين نحو الصفحات الخبيثة وفي النهاية البرمجيات الخبيثة.

من بين الأدوات غير المعتادة للمجموعة، ملحق متصفح متنكر في هيئة “عارض PDF”. وبدلًا من فتح المستندات، يطلب أذونات واسعة ويجمع ملفات تعريف الارتباط ورموز الجلسات وسجل التصفح ولقطات الشاشة. كما يسمح للمهاجمين بالخروج من صندوق الرمل الخاص بالمتصفح، وحقن الأكواد في أي صفحة ويب، وحتى استبدال عنوان محفظة العملات الرقمية للضحية بعنوان المهاجم أثناء المعاملة، وهي ميزة تقول سيمانتيك إنها لم تُلاحظ في الاستخدام الفعلي بعد.

انتحال شخصية بينانس وOKX عبر نطاقات مشابهة

أوضح دليل على طموحات المجموعة في الجريمة المالية المرتبطة بالتجسس هو حملة انتحال الشخصية ضد اثنين من أشهر الأسماء في الصناعة. سجّلت جول بج مئات النطاقات المشابهة المصممة لتقليد بينانس وOKX، وهما من أكبر منصات تبادل العملات الرقمية في العالم، في محاولة لخداع المستخدمين لتسليم بيانات الاعتماد أو الأموال من خلال مواقع تبدو كمنصات بينانس المزيفة.

تم ذكر كلتا المنصتين تحديدًا كأهداف في مخطط الانتحال، مما يؤكد كيف يستهدف المهاجمون بشكل متزايد المنصات التي يثق بها مستخدمو العملات الرقمية بدلًا من بناء الاحتيال من الصفر. هذا النوع من انتحال العلامات التجارية مهم لأنه يستغل الألفة: فالمستخدمون الذين يبحثون عن صفحة تسجيل دخول شرعية لمنصة تداول يمكن أن يصلوا إلى صفحة مزيفة شبه متطابقة دون أن يدركوا ذلك، خاصة عندما تظهر هذه الصفحات في مراتب متقدمة في نتائج البحث بفضل الزيارات المتلاعب بها.

نتائج تقرير سيمانتيك للتهديدات

كل هذه النتائج تعود إلى تقرير سيمانتيك للتهديدات، الذي جمع بنية جول بج التحتية من خلال منصة إدارة تسمى “XG-Web”. تعمل المنصة بشكل يشبه أدوات البرمجيات كخدمة التجارية، مما يسمح للمشغلين بتوليد أكواد خبيثة وإدارة بيانات المتصفح المسروقة والإشراف على الإصابات الفردية من لوحة تحكم واحدة.

يكشف تصميم XG-Web أيضًا شيئًا عن البنية الداخلية للمجموعة. فهي تستخدم ضوابط وصول قائمة على الأدوار بمستويات مدير فائق ومدير ومستخدم عادي، ولا يمكن للمشغلين من المستوى الأدنى رؤية سوى الضحايا الذين أصابوهم شخصيًا. بناءً على هذا الإعداد، تصف سيمانتيك جول بج بأنها فريق صغير نسبيًا وليست عملية ضخمة.

يشير الباحثون أيضًا إلى اتجاه أوسع خلف مجموعات مثل جول بج. لاحظ أوبراين أن الاعتماد على مقاولين من طرف ثالث نما بين الدول القومية، مع كون الصين “منطقة النمو الرئيسية”، ويرجع ذلك إلى حد كبير إلى الحجم الذي تريد العمل به في الفضاء الإلكتروني. وقال إن نموذج الاستعانة بمصادر خارجية هذا يمكن أن يعقّد تحديد المسؤولية للمدافعين، لأن المجموعات المتعاقدة غالبًا ما تُظهر “نمط نشاط غير متسق إلى حد كبير”. كما يمكن أن يوفر للدول طبقة من الإنكار المعقول، رغم أن ذلك يأتي مع مقايضات. وقال أوبراين: “لديك إشراف أقل على العمليات”، مشيرًا إلى أن القراصنة ذوي الدوافع المالية يميلون إلى ضعف الأمن التشغيلي، “كما يتضح من جول بج، التي تركت أثرًا من الأدلة وراءها”.

هذا الأثر هو بالضبط ما سمح لسيمانتيك برسم خريطة أدوات المجموعة وبنيتها التحتية وضحاياها بهذا التفصيل، وهو تذكير بأنه حتى العمليات المزدوجة المتطورة يمكن أن تنهار بمجرد أن يبدأ الباحثون في سحب الخيط الصحيح.

الأسئلة الشائعة

من هي مجموعة جول بج؟
جول بج هي مجموعة قرصنة مأجورة مقرها الصين وتقوم بالتجسس الإلكتروني والاحتيال في العملات الرقمية.

كيف تنفذ جول بج عمليات الاحتيال في العملات الرقمية؟
تستخدم المجموعة صفحات تبادل مزيفة مولّدة بالذكاء الاصطناعي ومئات النطاقات المشابهة التي تنتحل شخصية بينانس وOKX، مع تعزيز ظهورها باستخدام روبوتات النقر الاحتيالي والتلاعب بنتائج البحث.

ما هي منصات تبادل العملات الرقمية التي استهدفتها عمليات احتيال جول بج؟
تم استهداف بينانس وOKX تحديدًا من خلال انتحال الشخصية بنطاقات مزيفة مصممة لتشبه منصاتهما الشرعية.