كشف باحثون في شركة الأمن السيبراني Dr. Web عن حملة برمجيات خبيثة تستهدف المتخصصين في الأمن السيبراني عبر مستودعات برمجية (Repositories) ملغمة على منصة GitHub. وتعتمد هذه الحملة على نشر مشاريع برمجية تبدو وكأنها أدوات أمنية مفيدة، مثل أدوات أتمتة الفحص، واختبار الاختراق، وتحليل السجلات، لكنها في الواقع تقوم بتثبيت أبواب خلفية (Backdoors) وبرمجيات لسرقة المعلومات.
تطور استهداف الضحايا وآلية التخفي
بدأت هذه الحملة قبل نحو عامين، حيث كانت تركز في البداية على مستخدمي محافظ العملات الرقمية، إلا أن المهاجمين قاموا مؤخراً بتغيير استراتيجيتهم لاستهداف المحترفين التقنيين. وقد تم رصد إصابة أكثر من 2,000 نظام يعمل بنظام Windows حتى الآن.
تستخدم الحملة أساليب تخفٍ تقليدية لكنها فعالة، حيث يتم دمج الكود الخبيث داخل ملفات مشاريع Visual Studio، وسكربتات Python، وملفات مصدر Go. ويتم إخفاء الكود خلف مساحات بيضاء طويلة (Whitespace) لتجنب اكتشافه. وفي بعض مشاريع Visual Studio، يتم استغلال روتين "حدث ما قبل البناء" (Pre-build event) لتشغيل الكود الخبيث تلقائياً قبل عملية تجميع البرنامج (Compilation).
سلسلة العدوى وتقنيات التجاوز المتطورة
تبدأ عملية العدوى باستخدام PowerShell لجلب رابط تحميل مشفر، والذي يقوم بدوره بتحميل برنامج تحميل (Loader) يعتمد على إطار عمل Electron ويحمل اسماً مضللاً هو 'Microsoft.exe'. يعمل هذا المحمل على ترسيخ وجوده في النظام، ورفع صلاحياته، وتعطيل ميزات الأمان والاسترداد في Windows، ثم حقن البرمجيات الخبيثة في عمليات نظام شرعية.
أوضح الباحثون أن المحمل يستخدم وضعين للتشغيل لتجاوز الدفاعات:
- الوضع الثالث (Mode 3): وهو الوضع الافتراضي، ويستخدم ست تقنيات متطورة للتخفي، منها جعل عملية explorer.exe تبدو وكأنها العملية الأم للملف الخبيث، وتعطيل خاصية Smart App Control، بالإضافة إلى تعديل الذاكرة لتعطيل فحص السكربتات (AMSI) وتتبع الأحداث (ETW).
- الوضع الثاني (Mode 2): يُستخدم في حال فشل الوضع الأول، ويعتمد على إضافة استثناءات لبرنامج Microsoft Defender واستخدام سكربت PowerShell لحقن الحمولة في عملية RegAsm.exe.
الأهداف النهائية: سرقة البيانات والتحكم الكامل
بمجرد نجاح عملية الحقن، يتم إرسال حمولات نهائية تشمل:
- AsyncRAT: باب خلفي يمنح المهاجمين تحكماً كاملاً في الجهاز.
- Clipper Malware: برمجية تقوم باستبدال عناوين محافظ العملات الرقمية في الحافظة (Clipboard) بعناوين يملكها المهاجم.
- Infostealer: برنامج لسرقة البيانات يجمع معلومات المتصفحات، وإعدادات VPN، وملفات تكوين عملاء FTP، وبيانات حسابات الألعاب، ورموز Discord، ثم يرسلها عبر بوت Telegram.
علاوة على ذلك، تحاول البرمجية إزالة برامج الحماية الشهيرة مثل ESET وMcAfee وMalwarebytes، وتعطيل عمليات النسخ الاحتياطي في Windows.
ما الذي يهم المتخصصين؟
يمثل هذا التطور تحولاً خطيراً في سلوك المهاجمين؛ فبدلاً من استهداف المستخدم العادي، أصبح المهاجمون يستهدفون "أدوات العمل" التي يعتمد عليها خبراء الأمن أنفسهم. استخدام مستودعات GitHub الموثوقة تقنياً كغطاء يعني أن الثقة في الأدوات مفتوحة المصدر يجب أن تظل مشروطة بالفحص الدقيق، خاصة عند التعامل مع مشاريع تحتوي على ملفات بناء (Build files) أو سكربتات أتمتة غير معروفة المصدر.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.