Global cybercrime tool taken down

وزارة العدل الأمريكية تصادر 4 نطاقات تدعم خدمات التشفير المستخدمة في الجرائم الإلكترونية ضمن عملية دولية

أسفرت عملية إنفاذ قانون متعددة الجنسيات عن تفكيك شبكة إلكترونية إجرامية كانت تقدّم خدمات لمجرمي الإنترنت لتساعدهم في جعل برمجياتهم الخبيثة غير قابلة للكشف من قبل برامج الحماية.

وقالت وزارة العدل الأمريكية (DoJ) إنها صادرت في 27 مايو 2025 أربعة نطاقات وخوادمها المرتبطة، والتي كانت تسهّل تقديم خدمات "التشفير" الخبيث. جاءت العملية بالتعاون مع سلطات هولندا وفنلندا، وشملت النطاقات التالية:

• AvCheck[.]net
• Cryptor[.]biz
• Crypt[.]guru

النطاقات المصادرة الآن تعرض إشعارات المصادرة الرسمية. كما شاركت كل من فرنسا، ألمانيا، الدنمارك، البرتغال، وأوكرانيا في العملية.

ما هو التشفير في الجرائم السيبرانية؟

أوضحت وزارة العدل أن "التشفير" يشير إلى عملية تعديل البرمجيات الخبيثة لإخفائها عن برامج مكافحة الفيروسات. وغالبًا ما تُستخدم مع أدوات فحص مكافحة الفيروسات (CAV) لتمكين المهاجمين من تجاوز الحماية والوصول غير المصرح به إلى الأنظمة.

وقد أجرت السلطات عمليات شراء سرية من هذه المواقع لتحليل الخدمات المقدمة وتأكيد استخدامها في أنشطة إجرامية.

تفاصيل منصة AvCheck

بحسب أرشيف الإنترنت، روّج موقع AvCheck لنفسه كأداة "فحص سريع ضد مضادات الفيروسات"، حيث أتاح للمستخدمين المسجلين فحص ملفاتهم عبر 26 محرك مكافحة فيروسات، بالإضافة إلى فحص عناوين IP والنطاقات ضد 22 قاعدة بيانات حماية.

هذه المصادرة جاءت ضمن عملية دولية مستمرة تُعرف باسم Operation Endgame، والتي أُطلقت في عام 2024 بهدف تفكيك البنية التحتية للجرائم الإلكترونية.

تصريح من مكتب التحقيقات الفيدرالي

قال "دوجلاس ويليامز"، العميل الخاص المسؤول في مكتب FBI بهيوستن: "مجرمو الإنترنت لا يكتفون بإنشاء برمجيات خبيثة، بل يعملون على تحسينها لتحقيق أقصى تأثير، عبر خدمات مثل CAV لجعل البرمجيات غير قابلة للكشف من أنظمة الحماية."

خدمة PureCrypter كأداة جديدة للجرائم الإلكترونية

بالتزامن، كشفت شركة eSentire عن أداة تشفير خبيثة تُعرف باسم PureCrypter، تُستخدم لتوزيع برمجيات سرقة البيانات مثل Lumma وRhadamanthys عبر طريقة وصول أولي تُعرف باسم ClickFix.

تُسوَّق الأداة على موقع Hackforums[.]net من قبل المهاجم المعروف باسم "PureCoder"، وتتراوح أسعار الاشتراك ما بين 159 دولار لثلاثة أشهر إلى 799 دولار للوصول الدائم. ويتم توزيعها عبر قناة تيليجرام تلقائية @ThePureBot، والتي تُستخدم أيضًا كسوق لأدوات أخرى مثل PureRAT وPureLogs.

مثل غيرها من أدوات الجرائم السيبرانية، تطلب الأداة من المستخدمين الموافقة على "شروط الاستخدام" التي تدّعي أن البرنامج مخصص للأغراض التعليمية فقط.

قدرات تجاوز الحماية

تتمتع برمجية PureCrypter بعدة قدرات متقدمة لتجنب الكشف، منها:

• تجاوز AMSI
• إلغاء ربط DLLs
• كشف بيئات التشفير الافتراضية (anti-VM)
• آليات مضادة لتقنيات التتبع (anti-debugging)
• قدرة جديدة لتجاوز حماية Windows 11 إصدار 24H2 عبر تعديل وظيفة NtManageHotPatch في الذاكرة

ورغم تسويق الأداة على أنها "غير قابلة للكشف" استنادًا لنتائج فحص AvCheck، إلا أن فحصها عبر VirusTotal أظهر أنها قابلة للكشف من قبل عدد من محركات الحماية، مما يكشف وجود تباين كبير في نتائج الكشف.

الاستنتاج

هذه العملية تُعد ضربة قوية للبنية التحتية التي تدعم مجرمي الإنترنت، خاصة مع تزايد استخدام خدمات التشفير والتحايل على الحماية. كما تسلط الضوء على أهمية التعاون الدولي والتقني في مواجهة هذه التهديدات المتقدمة.

المستخدمون والشركات بحاجة لمزيد من الوعي حول الحملات التسويقية الخادعة التي تُخفي أدوات تهديد حقيقية، وتجنب تحميل الأدوات من مصادر غير رسمية أو مجهولة.