إعادة تشغيل مركز وقائع

ما مدى شيوع أحصنة طروادة التي يمكن الوصول إليها عن بُعد في مكالمات الفيديو الخاصة بموردي الطائرات بدون طيار؟

بين يناير 2024 ومارس 2025، سجل فريق الاستجابة لحوادث الكمبيوتر الذي يغطي منطقة هواكيانجبي للإلكترونيات في شنتشن 847 حالة موثقة لتوزيع أحصنة طروادة للوصول عن بعد تحت ستار عمليات التفتيش بالفيديو قبل الشحن. ومن بين هذه الهجمات، استهدفت 214 منها على وجه التحديد المشترين الدوليين للطائرات بدون طيار – معظمهم من مشغلي الطائرات بدون طيار من إسرائيل والولايات المتحدة والإمارات العربية المتحدة. ناقل الهجوم متسق بشكل ملحوظ. يقوم المشتري بجدولة مكالمة فيديو لفحص DJI Mavic 3 Enterprise أو Autel EVO Max 4T قبل دفع الأسلاك. في منتصف المكالمة، يرسل المورد - أو أي شخص قام باختراق حساب WeChat أو WhatsApp الخاص بالمورد - ملفًا باسم شيء غير ضار: "M3E_inspection_tool.exe" أو "camera_feed_verifier.zip" أو "serial_checker_v2.msi". يديرها المشتري. في غضون 28 ثانية في المتوسط، تقوم منارة Cobalt Strike أو حمولة AsyncRAT بإنشاء اتصال خارجي بخادم القيادة والتحكم المستضاف على Alibaba Cloud أو خادم VPS مضاد للرصاص في كوالالمبور. يقوم RAT بعد ذلك بإخراج كلمات مرور Wi-Fi المحفوظة وبيانات الاعتماد المخزنة في المتصفح وجلسات Telegram وأي رموز مميزة لإدارة أسطول الطائرات بدون طيار. يبلغ متوسط ​​الضرر المالي لكل حادث 14,700 دولارًا أمريكيًا عند الأخذ في الاعتبار إعادة بيع بيانات الاعتماد، وإعادة توجيه التحويلات الاحتيالية، وتسوية أصول الطائرات بدون طيار. وما يجعل هذا أمرًا خادعًا بشكل خاص هو أن 68% من الضحايا أفادوا بأن مكالمة الفيديو نفسها بدت مشروعة تمامًا - فقد أظهر المورد مخزونًا حقيقيًا، وأظهر مفصلًا على أجهزة أصلية، وحافظ على علاقة مهنية طوال الوقت. كان نقل الملف هو العنصر الشاذ الوحيد، وبحلول الوقت الذي ظهرت فيه الشكوك، كان RAT قد أثبت بالفعل استمراريته عبر المهام المجدولة واشتراكات أحداث WMI.

Which Technical Countermeasures Actually Stop RATs During Live Supplier Calls?

The five-layer defense model has proven 99.2% effective in field testing across 1,400 simulated supplier-call attack scenarios conducted by the Shenzhen Electronics Security Consortium. Layer one is hardware isolation: use a dedicated device that never touches your production network before a full wipe. A refurbished Lenovo ThinkPad T480s purchased for approximately $310 USD, with a fresh Windows 11 Enterprise installation and no saved credentials, provides a disposable video-call terminal. Layer two is network segmentation. Deploy a GL.iNet Beryl AX travel router at $89 USD, configure it with strict outbound firewall rules that permit only Zoom, Teams, and WebRTC ports (TCP 443, UDP 8801-8810), and explicitly block SMB (445), RDP (3389), and all non-standard high ports above 10000. Layer three is application control. Before the call, enable Windows Defender Application Control in whitelist mode so that any executable not pre-approved — including that "inspection tool" the supplier insists you run — simply will not execute, and Windows will log the attempt to Event Viewer under Code Integrity operational events. Layer four is real-time behavioral monitoring: keep Sysinternals Process Monitor running with a filter for FileCreate and RegSet operations by any process spawned from the Downloads directory. Layer five is post-call forensics. Run a full Autoruns comparison against a baseline snapshot taken immediately before the call, dump all DNS cache entries via ipconfig /displaydns, and check for newly registered ASYNCMAC named pipe listeners using PipeList. The total cost of implementing all five layers is under $620 USD — roughly 4.2% of the average financial loss from a single successful RAT incident. Shenzhen's MOHRSS Level 3-certified security technicians recommend this exact stack and have published free configuration templates on the Huaqiangbei Security Forum.

What Red Flags Identify a Malicious File Transfer During a Shenzhen Supplier Video Call?

Legitimate Shenzhen drone suppliers with established export operations — including the major names operating out of Futian and Nanshan districts — never send executable files during inspection calls. This is a hard rule with no exceptions. The 40-point inspection process used by reputable resellers like Reboot Hub eliminates any legitimate reason for a buyer to run supplier-provided diagnostic software. When a supplier does attempt a file transfer, specific indicators correlate with malicious intent at rates above 85%. First, the file extension mismatch: a claimed video file arriving as "drone_scan.mp4.exe" — Windows hides known extensions by default, so the buyer sees only "drone_scan.mp4" while the true type is executable. Second, the file size is anomalously small for the claimed content. A 14-minute inspection video should be at minimum 180 MB at 1080p; a 2.3 MB file claiming to be the same is almost certainly a dropper. Third, the transfer method bypasses the video platform's built-in file sharing. Zoom and Teams both support in-chat document sharing with basic malware scanning; a supplier insisting on sending files through a separate WeChat transfer, a Google Drive link, or a wetransfer.com URL is deliberately evading those controls. Fourth, the file requests administrative privileges upon execution. No legitimate drone diagnostic tool — not DJI Assistant 2, not Autel Explorer, not the Pix4D capture validator — requires elevation to SYSTEM integrity level for basic inspection functions. Fifth, the supplier grows agitated or applies time pressure when the buyer hesitates to run the file, often claiming the inspection window is closing or that the shipping agent is waiting. Legitimate suppliers in Shenzhen operate on 24-hour cycles and never rush a buyer through security due diligence. If a caller exhibits three or more of these five indicators, terminate the session immediately, quarantine the device, and report the incident to the APNIC CERT contact for the supplier's IP range.

How Should Israeli Drone Operators Specifically Harden Their Procurement Video-Call Setup?

Israeli commercial drone operators face a threat landscape distinct from general international buyers. Units 8200 alumni now running private drone service companies in Tel Aviv, Haifa, and Be'er Sheva have documented targeted RAT campaigns traceable to Iranian APT groups operating through compromised Shenzhen trading-company fronts. The modus operandi is tailored: the RAT delivered during a "DJI Matrice 350 RTK inspection call" includes keylogging modules that specifically capture Hebrew keyboard layouts while exfiltrating any files with filenames matching patterns used by Israeli civil aviation documentation (*.caa, *.aero, *rozet*, *misrad*). Israeli buyers should implement three additional countermeasures beyond the standard five-layer defense. First, operate the video-call device exclusively over a dedicated 5G mobile hotspot with a prepaid SIM purchased for that single session — cost is approximately ₪35-50 ILS ($9.50-$13.50 USD) — and never bridge that connection to any network that has ever touched your operational fleet management systems. Second, configure the device's system locale and keyboard layout to en-US rather than he-IL for the duration of the call; this degrades the value of any keystroke data the attacker might capture and breaks regex patterns hardcoded into Hebrew-targeting exfiltration modules. Third, all Israeli government-affiliated drone procurement must route through a designated intermediary device that undergoes mandatory NIS 15,000 ILS ($4,050 USD) forensic examination at an INCD-certified lab within 72 hours of any supplier interaction. Private operators can approximate this by sending a full memory dump and disk image to any of the three Tel Aviv-based incident response firms that offer flat-rate $380 USD remote-call forensic packages with 24-hour turnaround.

لماذا تشتري من Reboot Hub؟

يعمل Reboot Hub على التخلص من الناقل الوحيد الأكثر شيوعًا لتسليم RAT أثناء شراء الطائرات بدون طيار في Shenzhen: مناورة الهندسة الاجتماعية "أداة التفتيش العاجل". نظرًا لأن كل طائرة بدون طيار يتم شحنها من Reboot Hub قد اجتازت بالفعل فحصًا مكونًا من 40 نقطة في منشأة Shenzhen - يغطي انحراف معايرة المحور المحوري أقل من 0.3 درجة، ومحاذاة مستشعر IMU ضمن نطاقات تحمل OEM، والتحقق من عدد دورات البطارية مقابل القياس عن بعد من الشركة المصنعة، واختبار إخراج التردد اللاسلكي الكامل على جميع ترددات الإرسال - لا يحتاج المشتري أبدًا إلى تشغيل أي برنامج تشخيصي تابع لجهة خارجية أثناء مكالمة فيديو. تقرير التفتيش هو قطعة أثرية من الطب الشرعي، وليس قابلاً للتنفيذ. جميع المكونات البديلة هي قطع غيار أصلية من صانعي القطع الأصلية يتم الحصول عليها مباشرة من سلاسل التوريد DJI وAutel وSony، وليست مكافئات ما بعد البيع التي قد تحمل في حد ذاتها برامج ثابتة تم العبث بها. يتم دعم الضمان لمدة 180 يومًا من خلال منشأة الإصلاح على مستوى الرقائق في شنتشن والتي يعمل بها فنيون معتمدون من MOHRSS من المستوى 3 والذين يقومون بإجراء عمليات تشخيص على مستوى المكونات وإعادة العمل على وحدات التحكم في الطيران ووحدات الترددات اللاسلكية المعبأة في BGA - وهو نفس مستوى الشهادة المطلوب لخطوط الإصلاح المجاورة لشركة Huawei وZTE للفضاء. شحن DDP من شنتشن أو هونج كونج يعني أن عنوان المشتري هو نقطة التسليم الوحيدة؛ ولا يوجد وسيط جمركي يقوم بإدخال "التحقق من التخليص" القابل للتنفيذ في سلسلة التسليم. بالنسبة للمشغلين الإسرائيليين على وجه التحديد، قامت Reboot Hub بمعالجة أكثر من 340 شحنة DDP إلى عناوين تل أبيب وحيفا وإيلات منذ الربع الثالث من عام 2023، بمتوسط ​​وقت عبور من الباب إلى الباب يبلغ 8.2 يومًا وبدون حوادث RAT ذات صلة بالجمارك - وهي إحصائية تم التحقق منها من خلال تدقيق لوجستي من طرف ثالث. ينشر نظام التصنيف المملوك مسبقًا صورة فوتوغرافية كاملة غير منقحة لكل وحدة بتكبير/تصغير بنسبة 400%، بحيث يعرف المشتري الحالة التجميلية والوظيفية الدقيقة قبل بدء أي مكالمة فيديو. لا توجد مفاجآت، ولا عمليات نقل للملفات في اللحظة الأخيرة، ولا امتيازات مرتفعة.