منشورات استكشاف الأخطاء وإصلاحها المزيفة لنظام macOS تثبت مسروقات محافظ العملات المشفرة
- ينشر المهاجمون أدلة مزيفة لإصلاح مشكلات نظام macOS لخداع المستخدمين وتشغيل أوامر طرفية ضارة تسرق العملات المشفرة.
- تعمل هذه الحملة منذ أواخر عام 2025 وتتجاوز جيت كيبير (Gatekeeper) لأن الضحايا ينفذون الأوامر الضارة بأنفسهم.
- أضافت آبل حماية في نظام macOS 26.4 تمنع لصق الأوامر التي تم تصنيفها على أنها محتملة الضار إلى الطرفية (Terminal).
ينشر المهاجمون أدلة استكشاف الأخطاء وإصلاحها المزيفة لنظام macOS على منصات Medium وCraft وSquarespace. الهدف هو جعل المستخدمين ينفذون أوامر Terminal تثبت برمجيات خبيثة تستهدف بيانات iCloud وكلمات المرور المحفوظة ومحافظ العملات المشفرة.
نشرت فريق أبحاث أمان Microsoft Defender النتائج. استمرت الحملة منذ أواخر عام 2025. تستغل الحملة مستخدمي Mac الذين يبحثون عن مساعدة في مشاكل شائعة مثل تحرير مساحة القرص أو إصلاح أخطاء النظام.
بدلاً من تقديم حل شرعي، تخبر الصفحات المستخدمين بنسخ أمر ولصقه في Terminal. يقوم هذا الأمر بتنزيل وتشغيل البرمجيات الخبيثة.
تخبر منشورات المدونة المضللة القراء بنسخ أمر خبيث ولصقه في Terminal. يقوم هذا الأمر بتنزيل البرمجيات الخبيثة وتشغيلها على جهاز الكمبيوتر للضحية.
تُسمى التقنية ClickFix. وهي هندسة اجتماعية تغير مسؤولية إطلاق الحمولة إلى الضحية. لأن المستخدم يشغل الأمر مباشرة في Terminal، لا يفحص macOS Gatekeeper الحمولة أبدًا.
يتحقق Gatekeeper عادةً من توقيع الكود والتصديق على حزم التطبيقات التي يتم فتحها من خلال Finder، لكن هذه الطريقة تتجاوزها تمامًا.
أطلق المهاجمون ثلاث حملات بنفس الهدف
لاحظت Microsoft ثلاثة مثبتات حملات:
- محمل.
- سكربت.
- أداة مساعدة.
جميعها تجمع البيانات الحساسة، وتؤسس الاستمرارية، وتقوم بتصدير المعلومات المسروقة إلى خوادم المهاجم.
تشمل عائلات البرمجيات الخبيثة AMOS وMacsync وSHub Stealer. إذا تم تثبيت أي واحد من البرمجيات الخبيثة الثلاثة، فإنه يستهدف بيانات حسابات iCloud وTelegram. ثم يبحث عن المستندات والصور الخاصة التي يقل حجمها عن 2 ميجابايت. ويستخرج مفاتيح محافظ العملات المشفرة من Exodus وLedger وTrezor، ويسرق أسماء المستخدمين وكلمات المرور المحفوظة من Chrome وFirefox.
بعد التثبيت، يعرض البرمجيات الخبيثة مربع حوار مزيف ويسأل عن كلمة مرور النظام لتثبيت "أداة مساعدة". إذا أدخل المستخدم كلمة المرور، يحصل المهاجم على وصول كامل إلى الملفات وإعدادات النظام.
في بعض الحالات، وجد الباحثون أن المهاجمين حذفوا تطبيقات محافظ العملات المشفرة الشرعية واستبدلوها بنسخ متحولة مصممة لمراقبة المعاملات وسرقة الأموال.
كانت Trezor Suite وLedger Wallet وExodus بعض التطبيقات الرئيسية المستهدفة في هذا الهجوم.
تشمل حملة المحمل أيضًا مفتاح قتل. تتوقف البرمجيات الخبيثة عن التنفيذ إذا اكتشفت تخطيط لوحة مفاتيح روسية.
لاحظ باحثو الأمن المهاجمين يستخدمون curl وosascript وأدوات macOS الأصلية الأخرى لتشغيل الحمولة مباشرة في الذاكرة. هذا نهج خالٍ من الملفات يجعل الكشف أصعب لأدوات مكافحة الفيروسات القياسية.
يستهدف المهاجمون مطوري العملات المشفرة
اكتشف باحثو الأمن من ANY[.]RUN عملية لمجموعة لازاروس تُسمى "Mach-O Man". استخدم القراصنة نفس تقنية ClickFix من خلال دعوات اجتماعات مزيفة. استهدفوا آلات التمويل والتكنولوجيا المالية والعملات المشفرة حيث يكون نظام macOS شائعًا.
نشر كريبتوبوليتان عن حملة PromptMink.
تم وضع حزمة npm خبيثة في مشروع تداول العملات المشفرة من قبل المجموعة الكورية الشمالية Famous Chollima من خلال تغيير مولد بالذكاء الاصطناعي. باستخدام نهج الحزمة ذو الطبقتين، حصلت البرمجيات الخبيثة على وصول إلى بيانات المحفظة والأسرار النظامية.
تظهر كلتا الحملتين أن بيانات محافظ العملات المشفرة ذات قيمة. يتكيف المهاجمون طرق التسليم الخاصة بهم من منشورات المدونة المزيفة إلى اختراقات سلسلة التوريد المدعومة بالذكاء الاصطناعي للوصول إليها.
إذا كنت تقرأ هذا، فأنت متقدّم بالفعل. ابق هناك مع نشرتنا الإخبارية.
الأسئلة الشائعة
ما هو ClickFix وكيف يعمل على نظام macOS؟
ClickFix هو هجوم هندسة اجتماعية يخدع المستخدمين لنسخ ولصق أمر في الطرفية، مما يؤدي إلى تنزيل وتنفيذ برمجيات خبيثة.
أي محافظ العملات المشفرة تستهدفها حملة البرمجيات الخبيثة هذه؟
Exodus و Ledger و Trezor كأهداف رئيسية. وفي بعض الحالات، قام المهاجمون بإزالة المحافظ الحقيقية واستبدالها بتطبيقات مختلة.
هل أصدرت آبل إصلاحًا لهجوم Terminal الخاص بـ ClickFix؟
أضافت آبل حماية في نظام macOS 26.4 تمنع لصق الأوامر التي تم تصنيفها على أنها محتملة الضار إلى الطرفية. وتظهر تحذيرًا بصيغة "برمجيات خبيثة محتملة، تم منع اللصق."
إخلاء مسؤولية. المعلومات المقدمة ليست نصيحة تداول. Cryptopolitan.com لا تتحمل أي مسؤولية عن أي استثمارات تُجرى بناءً على المعلومات الواردة في هذه الصفحة. نوصي بشدة بإجراء بحث مستقل و/أو الاستعانة بمستشار مؤهل قبل اتخاذ أي قرارات استثمارية.
راندا موسى
رندا موسى محررة وصحفية في كريبتوبوليتان تغطي التكنولوجيا والذكاء الاصطناعي والروبوتات والعملات الرقمية والاحتيال والاختراقات. عملت في مجال العملات الرقمية منذ عام 2017. شغلت مناصب في Forward Protocol وAmaZix وCryptosomniac. وتحمل رندا درجة البكالوريوس في الهندسة الكهربائية والإلكترونيات من جامعة برادفورد.
