انتحال النطاق

ما هو انتحال النطاق؟

انتحال النطاق تقنية هجوم إلكتروني ينتحل فيها المهاجمون نطاقاً شرعياً لخداع المستخدمين أو تجاوز أنظمة الأمان أو الحصول على وصول غير مصرح به. قد يشمل ذلك تزوير رؤوس البريد أو تسجيل نطاقات شبيهة أو استغلال ثغرات DNS لإعادة توجيه الحركة.

أنواع انتحال النطاق

انتحال البريد الإلكتروني

تزوير عنوان From في البريد ليبدو أنه صادر عن نطاق موثوق:

Legitimate:
  From: [email protected]
  Actual sender: PayPal's mail servers

Spoofed:
  From: [email protected]
  Actual sender: attacker's server
  Without SPF/DKIM/DMARC, appears legitimate

انتحال اسم العرض

التلاعب باسم المرسل الظاهر مع استخدام بريد مختلف:

Display: CEO John Smith <[email protected]>
Actual email: [email protected]
Many email clients show only display name prominently

انتحال نطاق شبيه

تسجيل نطاقات تشبه النطاقات الشرعية:

Legitimate: paypal.com
Lookalikes:
  paypa1.com (1 instead of l)
  paypal-secure.com (added word)
  paypai.com (typo)
  paypаl.com (Cyrillic 'а' instead of Latin 'a')

انتحال DNS (تسميم الذاكرة المؤقتة)

إفساد ذاكرات DNS المؤقتة لإعادة توجيه الحركة:

User types: bank.com
DNS poisoned: Returns attacker's IP instead of real bank
User arrives at: Fake bank.com (phishing site)
User thinks: They're on real site (URL shows bank.com)

انتحال هوية المتصل (VoIP)

عرض أرقام هاتف مزيفة، وهو أقل صلة بالنطاقات لكنه مفهوم مرتبط.

كيف يعمل انتحال البريد الإلكتروني؟

فجوة بروتوكول SMTP

لا يتضمن SMTP، وهو بروتوكول البريد الإلكتروني، تحققاً مدمجاً من هوية المرسل:

SMTP Conversation:
Client: HELO attacker.com
Server: 250 Hello
Client: MAIL FROM: <[email protected]>
Server: 250 OK (accepts without verification)
Client: RCPT TO: <[email protected]>
Server: 250 OK
Client: DATA
From: [email protected]
Subject: Urgent wire transfer needed
→ Server delivers it

لا يتحقق أي جزء من SMTP من أن المرسل يسيطر فعلاً على victimcompany.com.

التلاعب بالرؤوس

يصوغ المهاجمون رؤوساً تتجاوز المرشحات الأساسية:

From: "CEO John Smith" <[email protected]>
Reply-To: [email protected]

User sees trusted sender
Replies go to attacker

سيناريوهات هجوم الانتحال في الواقع

اختراق بريد الأعمال (BEC)

1. Attacker researches company structure
2. Spoofs CEO's email to CFO
3. "Urgent wire transfer needed for acquisition"
4. CFO transfers funds thinking it's legitimate
5. Company loses millions

حملات التصيد

1. Spoof bank or tech company domain
2. Send emails about "suspicious activity"
3. Link goes to lookalike domain
4. User enters credentials on fake site
5. Attacker steals credentials

احتيال الفواتير

1. Attacker spoofs supplier's domain
2. Sends updated invoice with attacker's bank details
3. Victim pays attacker instead of real supplier
4. Legitimate supplier never receives payment

توزيع البرمجيات الخبيثة

1. Spoof trusted software company
2. Email with "critical security update"
3. Attachment contains malware
4. User trusts "legitimate" sender and opens it

اكتشاف انتحال النطاق

تحليل رؤوس البريد

افحص الرؤوس الكاملة بحثاً عن التناقضات:

From: [email protected]
Return-Path: <[email protected]>  ← Red flag
Received: from unknown.net [1.2.3.4]  ← Not PayPal's servers

Real email would have:
Received: from mx.paypal.com [verified PayPal IP]
Return-Path: <[email protected]>

فحص SPF/DKIM/DMARC

Authentication-Results: recipient.com;
  spf=fail smtp.mailfrom=paypal.com  ← Spoofed
  dkim=none                           ← Not signed
  dmarc=fail                          ← Failed policy

يفترض أن تنجح رسائل PayPal الشرعية في جميع هذه الفحوص.

الفحص البصري

ابحث عن الفروق الدقيقة:

Real: paypal.com
Fake: paypal-secure.com (extra word)
Fake: paypαl.com (Cyrillic character)
Fake: paypal.co (missing 'm')

الشذوذ السلوكي

• لغة عاجلة، مثل «تصرف الآن!» أو «حوّل المال فوراً!»
• طلبات غير معتادة، مثل طلب المدير التنفيذي بطاقات هدايا
• أخطاء نحوية أو إملائية
• طلبات تغيير بيانات الدفع
• روابط إلى نطاقات غير مألوفة

منع انتحال النطاق

تنفيذ مصادقة البريد الإلكتروني (مهم)

example.com.    IN    TXT    "v=spf1 include:_spf.google.com -all"

Authorizes which servers can send for your domain

Cryptographically signs outgoing emails
Receivers verify signature using DNS public key
Tampered emails fail verification

_dmarc.example.com.    IN    TXT    "v=DMARC1; p=reject; rua=mailto:[email protected]"

Tells receivers to reject emails that fail SPF/DKIM
Provides reports on spoofing attempts

p=none       Monitor only (start here)
p=quarantine Send failures to spam
p=reject     Block failures completely (goal)

تسجيل نطاقات دفاعية

سجّل استباقياً نطاقات شبيهة:

Primary: company.com

Register:
Common typos: conpany.com, compamy.com
Different TLDs: company.net, company.org, company.co
Hyphenated: com-pany.com, company-inc.com
Plurals: companies.com

ثم اتخذ أحد الإجراءات التالية:

• أعد التوجيه إلى النطاق الأساسي
• أوقف النطاق مع صفحة معلومات
• استخدمه لأغراض مشروعة

مراقبة إشارات العلامة

استخدم خدمات لاكتشاف تسجيلات النطاق غير المصرح بها:

• تنبيهات Google لتسجيلات النطاق التي تتضمن اسم العلامة
• سجلات شفافية الشهادات لمراقبة شهادات SSL الصادرة
• مراقبة WHOIS للتسجيلات الجديدة

• DomainTools لمراقبة النطاقات
• خدمة Sift التابعة لـCloudflare
• BrandShield لحماية العلامة
• Bolster للكشف عن الانتحال

تدريب الموظفين

نفذ تدريباً دورياً على الوعي الأمني:

• كيفية اكتشاف البريد المنتحل
• التحقق من الطلبات المشبوهة عبر قنوات بديلة
• عدم النقر على روابط البريد غير المتوقع
• فحص نطاق المرسل بعناية
• إبلاغ قسم تقنية المعلومات عن البريد المشبوه

الضوابط التقنية

p=reject (block spoofed email entirely)

• فحص النطاقات الشبيهة
• تمييز البريد الخارجي الذي يبدو داخلياً
• حظر عناوين IP المعروفة بالسوء

[EXTERNAL EMAIL] This email originated outside the organization

افحص عناوين URL في البريد ونقحها قبل التسليم.

لا تسمح إلا بطرق الإرسال المعتمدة، ولا تستخدم SMTP منفرداً غير مراقب.

تقنيات الانتحال المتقدمة

هجمات Homoglyph

استخدام محارف متشابهة بصرياً من أبجديات مختلفة:

Latin 'a' vs Cyrillic 'а' (U+0430)
Latin 'o' vs Cyrillic 'о' (U+043E)

googlе.com (Latin 'e' replaced with Cyrillic 'е')
Looks identical to: google.com

googlе.com → xn--googl-6nd.com (encoded)
Browsers show: ⚠️ xn--googl-6nd.com

انتحال النطاق الفرعي

إنشاء نطاقات فرعية تبدو كنطاقات مختلفة:

legitimate-bank.attacker.com
Appears as: legitimate-bank (subdomain of attacker.com)
Users see: "legitimate-bank" and assume it's safe

هجوم الرجل في الوسط مع اختطاف DNS

1. Attacker compromises DNS server or router
2. Changes bank.com resolution to attacker's IP
3. Serves fake bank site
4. Uses valid SSL cert (from Let's Encrypt, free)
5. User sees https://bank.com with padlock
6. User thinks it's safe, enters credentials

الجوانب القانونية والتنظيمية

قانون حماية المستهلك من الاستيلاء السيبراني (ACPA)

يحظر القانون الأمريكي تسجيل النطاقات المشابهة للعلامات التجارية على نحو يسبب الالتباس.

سياسة تسوية نزاعات أسماء النطاقات الموحدة (UDRP)

سياسة ICANN لتسوية نزاعات العلامات التجارية:

• يمكن لمالكي العلامات الطعن في التسجيلات الشبيهة
• توجد عملية تحكيم أسرع وأقل تكلفة من المحكمة

العقوبات الجنائية

قد يُلاحق انتحال النطاق بغرض الاحتيال بموجب:

• قانون الاحتيال الإلكتروني في الولايات المتحدة
• قانون الاحتيال وإساءة استخدام الحاسوب في الولايات المتحدة
• قوانين مماثلة في ولايات قضائية أخرى

وتشمل العقوبات الغرامات والسجن.

الاستجابة لانتحال النطاق

إذا كان نطاقك يتعرض للانتحال

1. نفّذ DMARC مع p=reject

_dmarc.example.com.    TXT    "v=DMARC1; p=reject; rua=mailto:[email protected]"

2. نبّه العملاء والشركاء

- أخبرهم بحملة الانتحال

- قدم مؤشرات، مثل ما ينبغي البحث عنه

- وفر قناة للإبلاغ

3. أبلغ السلطات

- FBI IC3 (الولايات المتحدة)

- وحدات الجرائم الإلكترونية المحلية

- مجموعة العمل لمكافحة التصيد (apwg.org)

4. اطلب الإزالة

- أبلغ مزودي الاستضافة عن مواقع التصيد

- أبلغ أمناء السجل

- استخدم نموذج الإبلاغ في Google Safe Browsing

5. راقب تقارير DMARC

- حدد مصادر الانتحال

- تابع حجم الهجوم وأنماطه

إذا اكتشفت نطاقاً شبيهاً

1. وثّق الأدلة

- لقطات الشاشة

- بيانات WHOIS

- رؤوس البريد

2. شكوى UDRP إذا كنت تملك العلامة التجارية

3. بلاغ إساءة إلى أمين السجل

4. إجراء قانوني إذا كان الضرر كبيراً

اختبار وسائل الحماية

اختبار حماية البريد من الانتحال

# Send test spoofed email to yourself
swaks --to [email protected] \
      --from [email protected] \
      --server test-smtp-server.com \
      --header "Subject: Test Spoofed Email"

# Check if it's delivered or blocked
# Check authentication results in headers

فحص إعداد DMARC

dig _dmarc.example.com TXT

# Should return policy (p=reject ideally)
_dmarc.example.com. 300 IN TXT "v=DMARC1; p=reject; rua=mailto:[email protected]"

التحقق من SPF وDKIM

# SPF
dig example.com TXT | grep spf

# DKIM (check common selectors)
dig google._domainkey.example.com TXT
dig default._domainkey.example.com TXT

استخدام أدوات الإنترنت

• أداة MXToolbox لفحص صحة النطاق
• أداة dmarcian لفحص DMARC
• أداة Google Admin لصورة رسالة البريد
• PhishTank (تحقق مما إذا كان نطاقك قد أُبلغ عنه)

انتحال النطاق تهديد خطير، لكن يمكن الحد منه بفاعلية عبر مصادقة البريد الصحيحة والمراقبة وتوعية المستخدمين.