تستغل عملية برمجية مصرفية مرتبطة بجهة برازيلية أداة باسم KREMLIN لتثبيت إضافات خبيثة على متصفحي Google Chrome وMicrosoft Edge من دون ظهور طلب موافقة للمستخدم. ووفق Elastic Security Labs، تنشط هذه العملية منذ منتصف عام 2025 ونفذت سبع حملات على الأقل باستخدام طعوم تنتحل صفة 12 بنكاً.
تبدأ الإصابة عندما يفتح المستخدم ملف JavaScript يبدو كإيصال مصرفي أو فاتورة أو سجل دفع أو مستند أعمال. وبعد اجتياز فحوص مضادة لبيئات التحليل، يعرض الملف خطأً زائفاً بالتزامن مع تنزيل Node.js، وإنشاء مهمة مجدولة للحفاظ على الاستمرارية، ثم الحصول على موقع الحمولة الإضافية من عقد ذكي على شبكة Ethereum.
كيف تتجاوز البرمجية حماية المتصفح؟
تنتظر KREMLIN إغلاق المتصفح، أو تنهي تشغيله عندما تكتشف حالة خمول، ثم تنسخ الإضافة إلى مجلدات ملفات تعريف Chrome وEdge. بعد ذلك تفعّل وضع المطور وتسجل الإضافة داخل ملف Secure Preferences الخاص بمتصفح Chromium.
وتكمن النقطة الأبرز في إعادة إنشاء آليات التحقق من سلامة إعدادات Chromium. إذ تستخدم البرمجية مفاتيح التشفير التي يعتمد عليها المتصفح لحماية البيانات الحساسة، ثم تعيد توليد قيم HMAC والتجزئات المشفرة المطلوبة، بحيث تبدو الإضافة صحيحة للمتصفح رغم أنها لم تحصل على موافقة المستخدم. تصف Elastic هذه التقنية بأنها موثقة لكنها نادرة الظهور في البرمجيات الخبيثة.
إضافة تتجسس على جلسات التصفح
تتنكر الإضافة المثبتة باسم AVSync، وتنفذ مجموعة واسعة من عمليات جمع البيانات، تشمل:
- سرقة ملفات تعريف الارتباط وبيانات التخزين المحلي وتخزين الجلسات.
- تسجيل النصوص المدخلة في النماذج، بما في ذلك كلمات المرور.
- التقاط لقطات الشاشة ومصدر صفحات الويب.
- حصر علامات التبويب المفتوحة وسجل التصفح.
- اعتراض أجسام طلبات HTTP وترويساتها.
- حقن محتوى HTML يتحكم به المهاجمون وإعادة توجيه النقرات.
- تلقي الأوامر عبر اتصال WebSocket.
ولا تقتصر الأداة على الإضافة؛ فهي تجمع أيضاً قواعد بيانات المتصفح وملفات تعريف الارتباط والإضافات المثبتة ومفاتيح App-Bound التشفيرية اللازمة لفك حماية بعض البيانات.
البنية التحتية وحجم الحملة
استخدمت حملات KREMLIN عقود Ethereum الذكية كآلية للعثور على مواقع الحمولة، كما أخفت حمولات داخل صور JPEG مستضافة عبر خدمة Internet Archive. وفي الحملات الأحدث نُشر REMCOS كأداة وصول عن بُعد، بينما استخدمت عمليات سابقة Pulsar RAT، ويرجح الباحثون أن الانتقال جاء لأن REMCOS أكثر غنى بالميزات.
حددت Elastic محفظة Ethereum التي نشرت العقود الذكية وحدثتها، وقالت إن المحفظة تعاملت مع نحو 20,800 USDT من التحويلات الواردة و19,000 USDT من التحويلات الصادرة. كما أكدت 1,515 نظاماً مصاباً، كان معظمها تقريباً في البرازيل.
لماذا يهم هذا الخبر؟
تكمن أهمية الحملة في أنها لا تعتمد فقط على خداع المستخدم لتثبيت إضافة، بل تعبث بملفات المتصفح وآليات سلامته كي تجعل الإضافة تبدو معتمدة. عملياً، يعني ذلك أن وجود إضافة غير مألوفة أو غياب نافذة موافقة لا يكفي وحده لاكتشاف الاختراق. وفي قراءة تحريرية، يوسع هذا الأسلوب نطاق سرقة بيانات الجلسات من كلمات المرور المباشرة إلى الجلسات النشطة ومحتوى الصفحات وطلبات الويب، ما يجعل مؤشرات الاختراق التي نشرتها Elastic مهمة للتحقيقات والاستجابة.
تمكنت Elastic من تعطيل الحملة الحالية عبر تسجيل نطاق كان يستخدمه المهاجمون كإشارة لفحص بيئة التحليل؛ فأصبح محمل البرمجية يفسر الأنظمة المؤهلة للإصابة على أنها بيئات مشبوهة ويتوقف عن التنفيذ. ولا يثبت المصدر أن هذا الإجراء أزال البنية التحتية كاملة، لكنه أوقف الحملة الحالية بهذه الآلية.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.