أداة التصيّد

التصيّد واسع النطاق ليس مبنيًا يدويًا. فالمشغّلون يشترون أو يحمّلون أداة جاهزة تتضمّن: الواجهة المستنسخة المنسوخة من صفحة الدخول الحقيقية، ونصًا برمجيًا يلتقط ما يُدخَل ويمرّره، ومنطق تهرّب يحجب أدوات الفحص ويقصر العرض على ضحايا في بلدان محدَّدة، وإعدادات نشر تتيح إسقاط المنظومة كاملةً على مضيف جديد خلال دقائق.

ولأن الأداة نفسها تُعاد في حملات كثيرة، فإنها تترك آثارًا ثابتة: تجزئة أيقونة متطابقة، وبنية مجلدات واحدة، وجهة إصدار شهادة TLS مُعادة الاستخدام، ونطاق استضافة مشترك. وهذه البصمات هبة للمدافعين، لأنها تحوّل رابطًا واحدًا مكتشَفًا إلى المجموعة الكاملة من النطاقات التي تشغّل الأداة نفسها، بما فيها ما لم يُفعَّل بعد.

وطبقة التهرّب هي السبب في أن صفحة قد تبدو نظيفة أمام فحص آلي بينما هي نشطة أمام الضحايا. إذ تعرض هذه الأدوات عادةً صفحة فارغة لنطاقات عناوين أدوات الفحص المعروفة، أو لحركة مراكز البيانات، أو لأي زائر من خارج الدولة المستهدفة.

والدرس التشغيلي هو تحديد البصمة قبل التقديم. فالحملة التي تُزال رابطًا رابطًا حملة تعمّر أطول من الجهد المبذول فيها، أما التي تُزال عند بنيتها التحتية المشتركة فلا.