كيف تمكن مكتب التحقيقات الفيدرالي ومانديانت من القبض على “هاكر متسلسل” حاول تزييف موته

في الساعات الأولى من يوم 20 يناير 2023، قام حساب مستخدم طبيب بتسجيل الدخول إلى نظام تسجيل الوفيات الإلكتروني في هاواي من خارج الولاية للتصديق على وفاة رجل يُدعى جيسي كيبف. وأدرجت شهادة الوفاة السبب على أنه “متلازمة الضائقة التنفسية الحادة” بسبب كوفيد-19 قبل أسبوع. وبهذا، تم تسجيل كيبف بشكل غير رسمي كمتوفى في العديد من قواعد البيانات الحكومية.

وفي نفس اليوم، نشر أحد المتسللين الملقب بـ “FreeRadical” نفس شهادة الوفاة في أحد منتديات القرصنة في محاولة لتحقيق الدخل من إمكانية الوصول إلى النظام. كتب المتسلل: “مستوى الوصول هو شهادة طبية مما يعني أنه يمكنك إنشاء حالة وفاة والتصديق عليها في هذه اللوحة”.

في المنشور، قام المتسلل بتضمين لقطة شاشة جزئية لشهادة الوفاة المزورة، لكنهم ارتكبوا أيضًا خطأً فادحًا. نسيت FreeRadical تنقيح حالة الميلاد المزعومة للشخص في شهادة الوفاة، وتركت جزءًا صغيرًا من ختم حكومة الولاية يظهر في زاوية لقطة الشاشة.

وعلى الجانب الآخر من البلاد في كولورادو، اكتشف أوستن لارسن، أحد كبار محللي التهديدات في شركة Mandiant للأمن السيبراني التابعة لشركة Google، مع زملائه المنشور عبر الإنترنت كجزء من جمع معلومات التهديدات الروتينية، والتي تتضمن مراقبة منتديات الجرائم الإلكترونية. من خلال التركيز على لقطة الشاشة التي تم اقتصاصها بشكل سيئ لشهادة الوفاة المزيفة، أدرك لارسن وزملاؤه أن منشور المنتدى كان دليلاً على قيام FreeRadical باختراق حكومة ولاية هاواي الأمريكية.

بعد ثلاثة أيام من العثور على منشور منتدى القرصنة، أبلغ لارسن مسؤولي ولاية هاواي بأن أنظمتها الحكومية قد تم اختراقها.

وجاء في الإخطار، وفقًا للقطة شاشة لرسالة لارسن التي تمت مشاركتها مع TechCrunch في مقابلة في وقت سابق من شهر سبتمبر: “من المحتمل أن يكون الممثل قد قام باختراق حساب جهة التصديق الطبية”.

أدى تحذير لارسن إلى إطلاق تحقيق فيدرالي من شأنه أن يكشف أن حساب المستخدم الخاص بالطبيب المستخدم لتقديم شهادة الوفاة قد تم اختراقه من قبل جيسي كيبف نفسه، الشخص الذي من المفترض أنه مات. وزعم ممثلو الادعاء في وقت لاحق في وثيقة قضائية أن كيبف زيف وفاته لتجنب دفع حوالي 116 ألف دولار لزوجته السابقة المستحقة لدعم ابنتهما.

كيبف، الذي أطلق عليه المدعون فيما بعد اسم “المتسلل المتسلسل” الذي يتمتع “بمعرفة تقنية وافرة لكسب العيش عن طريق السرقة من الآخرين”، ارتكب سلسلة من الأخطاء، بما في ذلك استخدام الإنترنت المنزلي الخاص به من سومرست، كنتاكي للاتصال مباشرة بسجل الوفيات في هاواي. النظام، الذي قاد العملاء الفيدراليين في النهاية إلى بابه.

ونتيجة لذلك، اتهمت وزارة العدل الأمريكية كيبف جنائيًا في أواخر نوفمبر 2023 بسلسلة من جرائم القرصنة. وزعم ممثلو الادعاء أن كيبف اخترق أنظمة كمبيوتر تابعة لثلاث ولايات أمريكية، بالإضافة إلى اثنين من البائعين لسلاسل الفنادق الكبيرة. ولم يتضمن البيان الصحفي لوزارة العدل، وكذلك لائحة الاتهام المنشورة في الوقت نفسه، الكثير من التفاصيل التي ادعى المدعون أن كيبف فعلها. وكانت مجلة فوربس قد ذكرت قبل أيام قليلة أن كيبف اخترق وزارة الصحة في هاواي.

في وقت سابق من شهر سبتمبر، جلس لارسن من Mandiant، جنبًا إلى جنب مع الوكيل الخاص لمكتب التحقيقات الفيدرالي أندرو ساتورنينو، ومساعد المدعي العام الأمريكي للمنطقة الشرقية من كنتاكي كيت ديروف، مع TechCrunch للكشف عن كيفية العثور على Kipf، وتقديمه إلى العدالة. تحدث الثلاثة إلى TechCrunch قبل محاضرتهم التي ألقاها في مؤتمر Mandiant للأمن السيبراني، mWISE.

كان كيبف، وفقًا لارسن وساتورنينو وديروف، بالإضافة إلى وثائق المحكمة الخاصة بقضيته، متسللًا غزير الإنتاج وله هويات متعددة.

وقال ساتورنينو إن Kipf كان “وسيط وصول أولي”، أي متسلل يقتحم الأنظمة ثم يحاول بيع الوصول إلى تلك الأنظمة لمجرمين إلكترونيين آخرين. في الإفادات الخطية التي تدعم أوامر التفتيش ضد كيبف، كتب العميل الخاص لمكتب التحقيقات الفيدرالي أن كيبف ارتكب عملية احتيال على بطاقة الائتمان لشراء طعام من خدمات توصيل الطعام – وتم القبض عليه بسبب ذلك في عام 2022؛ استخدم أرقام ضمان اجتماعي مزيفة لتقديم طلب للحصول على قروض، وكان لديه أكثر من اثنتي عشرة رخصة قيادة أمريكية على جهاز الكمبيوتر الخاص به؛ وأنه اخترق بائعي فنادق ماريوت.

من المحتمل أن كيبف حصل على بيانات الاعتماد التي استخدمها في اختراق هاواي من برنامج ضار لسرقة المعلومات أصاب جهاز كمبيوتر الطبيب الذي لم يذكر اسمه، والذي انتهى بعد ذلك على قناة Telegram للمتسللين. وقال لارسن إن كيبف نفسه استخدم اللقب “GhostMarket09″ لتشغيل خدمة سرقة بيانات الاعتماد.

بصرف النظر عن GhostMarket09، قال لارسن إن Mandiant حدد العديد من الألقاب الأخرى التي استخدمها Kipf في منتديات القرصنة المختلفة، بالإضافة إلى Telegram، والتي تضمنت: “theelephantshow”، و”yelichanter”، و”ayohulk”. وقال لارسن، بعد حصوله على قائمة الألقاب هذه، إنه راجع يدويًا آلاف الرسائل التي أرسلها كيبف تحت شخصياته المختلفة عبر الإنترنت، من خلال قاعدة بيانات أنشأها مانديانت عن طريق حذف منتديات القرصنة و”المحادثات شبه العامة” وقنوات تيليجرام.

قال لارسن إن مانديانت حددت شخصيتي FreeRadical وGhostMarket09 على أنهما مرتبطان بما تسميه الشركة UNC3944، أو Scattered Spider، وهي مجموعة قرصنة وجرائم إلكترونية غزيرة الإنتاج يُزعم أنها تقف وراء اختراق منتجعات MGM، وترتبط بعالم الجريمة الأوسع وراء سلسلة من جرائم العنف. المعروف باسم “كوم”.

وفقًا لارسن، قدم Kipf – باسم GhostMarket09 – بيانات اعتماد مسروقة لشركة الشحن العملاقة UPS إلى عضو مزعوم في Com يستخدم لقب “lopiu” أو “lolitleu”. قال لارسن إن Kipf لم يكن جزءًا من Com، ولكنه جزء من النظام البيئي للجريمة الإلكترونية الذي يمكّنه.

“أود أن أقول إنه متسلل عادي. قال لارسن: “شعرت أنه لم يكن خائفًا من العواقب أيضًا”. “لقد كان متورطًا بشكل مجاور في أجزاء أخرى من المجتمع الإجرامي، ولكن في الواقع، كان دوره هو بيع أوراق الاعتماد لتمكين عمليات اختراق أخرى.”

بالتوازي، ودون علم مانديانت، تلقى مكتب التحقيقات الفيدرالي تقريرًا من التحالف الوطني لتدريب الطب الشرعي السيبراني، وهي منظمة غير ربحية تراقب الويب المظلم وتتعاون مع سلطات إنفاذ القانون والقطاع الخاص، والذي تضمن سلسلة من الأسماء المستعارة المستخدمة في شبكة الإنترنت المظلمة. الويب المظلم من قبل هاكر موجود في ولاية كنتاكي.

أدى التحقيق إلى كنتاكي لأن كيبف نسي على ما يبدو استخدام VPN مرة واحدة على الأقل عند الوصول إلى أنظمة تسجيل الوفيات في هاواي، مما كشف عن عنوان IP الخاص بمنزله في سومرست بولاية كنتاكي، وفقًا لارسن ووثائق المحكمة.

بعد ذلك، في مايو 2023، نبه مكتب المدعي العام في هاواي، الذي كان يحقق في اختراق سجل الوفيات، مكتب المدعي العام في كنتاكي إلى أن شخصًا ما في الولاية الجنوبية الشرقية استخدم بيانات اعتماد تسجيل الدخول لطبيب حقيقي، لديه “استحقاقات على مستوى النظام لإدخال البيانات”. “أوراق عمل الوفاة”، للوصول إلى نظام تسجيل الوفيات في هاواي وتقديم شهادة وفاة لرجل يُدعى جيسي كيبف، وفقًا لوثيقة المحكمة.

في 13 يوليو 2023، اعتقل عملاء فيدراليون أمريكيون كيبف في منزله في سومرست واحتجزوه. وفي مقابلة لاحقة مع السلطات، اعترف كيبف بسلسلة من الجرائم الإلكترونية، والتي قال إنها سمحت له بعدم الحصول على وظيفة منتظمة لمدة خمس سنوات.

“كيف تركت عنوان IP الخاص بك يفلت؟” سأل القائمون على المقابلة Kipf، في إشارة إلى عنوان IP المنزلي الذي استخدمه Kipf للاتصال بنظام هاواي. أجاب كيبف، وفقًا لنص جزئي للمقابلة: “مجرد كسل… لم أعد أهتم بعد الآن”. قال كيبف إنه “توقف عن إعطاء af-k.”

في الواقع، في وقت لاحق من التحقيق، علمت السلطات أن كيبف استخدم نفس عنوان IP الخاص بمنزله لمحاولة “زيارة واستخراج البيانات من نطاقات إنترنت ماريوت والخوادم الداخلية” في الفترة ما بين 9 فبراير و22 مايو 2023 – بإجمالي 1423 مرات. وكان الهدف هناك، وفقًا لساتورنينو، هو بيع إمكانية الوصول إلى تلك الشبكات لقراصنة آخرين في المنتديات التي يستخدمها مجرمون الإنترنت.

وقال كيبف أيضًا في المقابلة إنه قام بالوصول إلى أنظمة تسجيل الوفيات في أريزونا وكونيتيكت وتينيسي وفيرمونت، فقط لمعرفة مدى سهولة الأمر، كما تقول وثائق المحكمة. في نظام تسجيل الوفيات في أريزونا، نجح كيبف في تقديم شهادة وفاة حيث وضع اسم “كراب رانغون” – وهو نوع من فطائر الوونتون الصينية المقرمشة المليئة بالجبن – كاسم للمتوفى، وفقًا للقطة شاشة للشهادة التي شاهدتها TechCrunch.

ومع ذلك، كان لديه ما يشبه الخطة. وقال كيبف للمحاورين إنه أنشأ ملفًا ائتمانيًا مزورًا برقم ضمان اجتماعي مزيف لاستخدامه بعد أن زيف وفاته، وفقًا لوثائق المحكمة.

واعترف المتسلل أيضًا ببيع المعلومات الشخصية لضحايا القرصنة لأشخاص في الجزائر وأوكرانيا وروسيا وتقديمها تظهر وثائق المحكمة أن الوصول إلى المعلومات الخاصة بنظام البائعين التابع لشركة ماريوت للروس.

وقال ساتورنينو إنه بمجرد أن تمكن مكتب التحقيقات الفيدرالي من فحص أجهزة كيبف، وجدوا عمليات بحث سابقة على جوجل في سجل التصفح الخاص به، مما يشير إلى أنه كان يحاول العثور على معلومات حول كيفية تجنب دفع إعالة الطفل.

أخيرًا، اتُهم كيبف أيضًا باختراق شركتي GuestTek وMilestone، وهما بائعان يعملان مع فنادق ماريوت. وفي تلك الاختراقات أيضًا، استخدم Kipf عنوان IP الخاص بمنزله.

ربما بسبب كل الأدلة التي جمعها مانديانت ومكتب التحقيقات الفيدرالي حول تاريخ كيبف في الجرائم الإلكترونية، واعترافه في المقابلة مع السلطات، توصل المتسلل إلى صفقة إقرار بالذنب مع المدعين العامين. واعترف كيبف رسميًا بالتسبب في أضرار بقيمة 80 ألف دولار للحكومة وشبكات الشركات التي اخترقها، و116 ألف دولار لدعم الطفل غير المدفوع لزوجته السابقة. واعترف أيضًا بسرقة الهوية لاستخدام أوراق اعتماد الطبيب المسروقة في اختراق هاواي لإنشاء شهادة الوفاة.

وكتب ديروف في مذكرة يطلب فيها من المحكمة الحكم على كيبف بالسجن سبع سنوات: “المدعى عليه متسلل متسلسل، يسرق معلومات التعريف الشخصية ويتسلل إلى شبكات الكمبيوتر المحمية للشركات والهيئات الحكومية دون أي داع”. “لقد تسبب في أضرار جسيمة، سواء على المستوى المالي أو في شكل استجابات تكنولوجية، لضحاياه من الشركات والحكومات”.

وأضاف ديروف: “من خلال محاولته الانتحار لتجنب التزامات إعالة الطفل، [Kipf] يواصل إيذاء ابنته ووالدتها، المستحقتين لأكثر من 116 ألف دولار من التزامات إعالة الطفل.

وفي مذكرة الحكم التي قدمها محامي كيبف، توماس ميسيلي، أقر المحامي بأن كيبف “يتفهم ولا ينكر خطورة سلوكه”. كتب ميسيلي، الذي لم يستجب لطلب موقع TechCrunch للتعليق، في ذلك الوقت أنه تم تشخيص إصابة كيبف بأوهام جنون العظمة وميول انفصام الشخصية، وأن “صحته العقلية تدهورت بعد انتهاء خدمته العسكرية” في العراق، مما “زاد من تعاطي المخدرات”. مدمن.”

حُكم على كيبف بالسجن لمدة 81 شهرًا، أي ما يقرب من سبع سنوات. ووفقا للبيان الصحفي لوزارة العدل الذي أعلن الحكم عليه في أغسطس، يجب أن يقضي كيبف ما لا يقل عن 85% من عقوبة السجن – أكثر من خمس سنوات – بموجب القانون الفيدرالي.