الأمن التقني

مايكروسوفت تعطل سوق التصيد الصيني الذي أرسل مليار رسالة

ضربة قوية للاقتصاد الجرمي الرقمي الصيني بعد مصادرة بنية تحتية ضخمة استهدفت ملايين المستخدمين والمنظمات.

نُشر: 15 أكتوبر 2026 · آخر تحديث: 15 أكتوبر 2026 · 4 دقائق قراءة

مايكروسوفت تعطل سوق التصيد الصيني الذي أرسل مليار رسالة — الصورة: SecurityWeek

مصادرة قضائية لثلاثة أركان رئيسية

أعلنت شركة مايكروسوفت بالتعاون مع تحالف القطاع الصحي Health-ISAC عن مصادرة نطاقات إلكترونية تابعة لثلاثة مكونات رئيسية في سوق إجرامي باللغة الصينية. وتشمل هذه المكونات YAM Store وCoGUI وIron Man، والتي كانت تتيح للمجرمين الحصول على حسابات وأدوات تصيد وبنية تحتية متطورة. وتم تنفيذ هذه الإجراءات بناءً على أمر صادر من المحكمة الفيدرالية الأمريكية في المنطقة الجنوبية لفلوريدا، حيث انضم Health-ISAC إلى الدعوى المدنية بعد رصد استهداف متكرر للمستشفيات والمنظمات الصحية من قبل الفاعلين الذين كانوا يعتمدون على هذه البنية التحتية. ويمكن الرجوع إلى SecurityWeek للاطلاع على التفاصيل الأصلية للمصدر.

أرقام ضخمة في حجم الهجمات

وفقاً لتقديرات مايكروسوفت، تم استخدام هذه الخدمات الثلاث لإرسال أكثر من مليار رسالة خبيثة منذ يناير 2026. استهدفت هذه الرسائل المستهلكين وأكثر من 75,000 منظمة في أكثر من 150 دولة حول العالم. ومن المثير للقلق أن أكثر من 750 مليون من هذه الرسائل كانت موجهة خصيصاً لعملاء مايكروسوفت. وقد جنى المشغلون وراء هذه العمليات عشرات الملايين من الدولارات، مما يعكس حجم الاقتصاد الجرمي الذي تم تعطيله. استجابةً لذلك، قامت مايكروسوفت بتعطيل أكثر من 20,000 حساب مرتبط بـ YAM Store، كما تعمل على حجب أكثر من 100,000 نطاق إلكتروني كان يُستخدم في عمليات انتحال الشخصية والاحتيال. ويمكن الرجوع إلى wrote للاطلاع على التفاصيل الأصلية للمصدر.

بداية التحقيق والتحالف الدولي

تعود جذور هذا التحقيق إلى أواخر عام 2025، عندما حذرت وكالة الشرطة الوطنية في اليابان شركة مايكروسوفت من حملات رسائل خبيثة تستهدف المواطنين اليابانيين. ومن هذه النقطة، توسعت التحقيقات لتشمل شبكة أوسع من الخدمات الجرمية تحت الأرض. وانضم لاحقاً إلى هذا الجهد كل من Resecurity وCloudflare وOracle وProofpoint وTRM Labs، بالإضافة إلى أجهزة إنفاذ القانون الأمريكية والدولية. وأوضح ستيفن ماسادا، المدير العام لوحدة الجرائم الرقمية في مايكروسوفت، أن ما بدأ كعمليات احتيال في اليابان قاد المحققين إلى اقتصاد خدمات سري يمد المجرمين حول العالم بالأدوات والبنية التحتية التي يعتمدون عليها.

آلية عمل YAM Store وCoGUI

تتتبع مايكروسوفت سوق YAM Store تحت المسمى Storm-3119، حيث كان يبيع بنية تحتية مبنية على بيئات مخترقة أو مكتسبة بطريقة احتيالية من مزودين مثل مايكروسوفت وجوجل. وكان المشترون يختارون الخدمات بناءً على عمر الحساب ونوع الاشتراك ونوع البيئة، مثل التعليم أو المنظمات غير الربحية. ووفقاً لفريق استخبارات التهديدات في مايكروسوفت، يعمل YAM Store كوسيط وصول، حيث يخطف مستأجري Microsoft 365 وAzure for Education ويعيد بيع الحسابات والتراخيص والتخزين المسروقة كخدمة للعمليات downstream، بما في ذلك حزم التصيد المعروفة بـ Storm-2990.

تطور أدوات التصيد التفاعلي

تم بيع حزم التصيد Storm-2990 عبر YAM Store، وتعرف هذه الحزم أيضاً بأسماء CoGUI وHaozi وIron Man. وتقدر مايكروسوفت بثقة عالية أن هذه الحزم طورتها فاعلات تهديد ناطقة بالصينية، مشيرة إلى أن التشابه في البنية التحتية وتداخل النشاط يوحي بأصل تطوير مشترك أو إعادة استخدام للكود أو تعاون وثيق بين المطورين. كان CoGUI يُستخدم بشكل مكثف ضد الضحايا في اليابان والولايات المتحدة، لكن بحلول منتصف عام 2026، بدأ يتم استبداله تدريجياً بـ Iron Man، الذي بدأ YAM Store بالإعلان عنه في يونيو 2026.

تحليل Resecurity لـ Iron Man

وفقاً لمايكروسوفت، يوفر Iron Man أكثر من 2,335 قالباً مصمماً لأكثر من 139 دولة، حيث تحتل الولايات المتحدة المرتبة الأولى من حيث عدد القوالب. وغالباً ما تنتحل الطعوم الأمريكية هوية كيانات النقل والحكومة، مثل السلطات التي تتعامل مع رسوم المرور والمواقف. وبالإضافة إلى الطعوم الثابتة، تعمل هذه الحزم منصات تفاعلية حية لجمع بيانات الاعتماد، مما يتيح للمشغلين مراقبة الضحايا في الوقت الفعلي والطلب منهم إدخال رموز تحقق لمرة واحدة. وقد اشترت شركة Resecurity ترخيصاً لـ Iron Man وشغلت الحزمة في مختبر معزول، حيث عثرت على 2,360 قالباً يغطي 130 دولة ومنطقة، وكان أحدثها أُضيف في الأول من أكتوبر.

نقطة ضعف تقنية في صالح المدافعين

أظهرت اختبارات Resecurity أن الحزمة تحتاج إلى اتصال منتظم بخادم ترخيص الموردين لتعمل بشكل صحيح. وأكدت الشركة أن هذا يثبت أن اللوحة لا يمكنها العمل دون اتصال منتظم ببنية تحتية الموردين، وهو اعتماد يصب في مصلحة المدافعين، حيث أن تعطيل أو تحويل مضيف الترخيص (Sinkholing) سيؤدي إلى تدهور جميع النشرات النشطة وليس فقط تلك التي تخضع للتحقيق. وتأتي هذه الضربة ضمن سلسلة من العمليات التي نفذتها مايكروسوفت مؤخراً ضد منصات التصيد والتهديدات السيبرانية الأخرى.