وصلني بريد منتحل صفة البريد السعودي فشل في توصيل احد الشحنات بسبب عدم اكتمال البيانات و يطلب سداد رسوم للتوصيل.
وقد انتشر هذا البريد في الاونه الاخيره فقررت محاوله كشف ومعرفه معلومات اكثر عن الاسلوب وطريقه عمل الصفحة.
كما هو معروف اغلب المواقع التي يتم رفع مثل هذه الصفحات عليها اما أن تكون مخترقة او مجانية. فحاولت البحث في الموقع عن ويب شل مرفوع وفعلا وجدت ويب شل جاهز ومرفوع من شهر يناير تقريبا
هنا صار الموضوع اسهل لانه نقدر ننزل السورس كود ونشوف الاسلوب.
عند دخول الزائر للصفحة يتم اولا فحص عنوان الاي بي والتاكد من انه ليس بوت من محركات البحث بعد ذلك يتم انشاء مجلد برقم اي بي الزائر مع هاش عشوائي خاص بكل زائر
ويتم التوجيه للصفحه الخاصه به للدفع
كما هو ملاحظ في السورس كود عند اكمال البيانات يتم استخدام تلقرام api لارسال البيانات لصاحب الصفحة حيث لاتخزن عالموقع او ترسل على بريد إلكتروني
قمت بالاتصال بالرابط وارسال حرف a للتجربة
بعد العثور على القناة الخاصة بالتبليغ عن الضحايا عثرت على عدد من الرسائل تحتوي على بيانات الضحايا
كما تلاحظون الحرف a الذي ارسلناه مسبقا
عند مراجعة ال access logs للموقع عثرت على عنوان الاي بي لصاحب السكربت
تم ابلاغ صاحب الموقع ورفع بلاغ للتلقرام بخصوص البوت
وتقبلو اجمل التحايا
AKMalware 