يستخدم المتسللون نوافذ منبثقة مزيفة من reCAPTCHA لتثبيت برامج ضارة وسرقة العملات الرقمية
- ينشر المتسللون نوافذ منبثقة مزيفة من reCAPTCHA لتثبيت برنامج Amatera Stealer الضار، مستهدفين محافظ العملات الرقمية وبيانات المتصفح.
- تبلغ eSentire عن تصاعد هجمات مدعومة بـ ClickFix التي تنقل برمجيات Amatera و NetSupport RAT عبر إشعارات أمنية خادعة.
- تشمل مجموعات التصيد الجديدة وتكتيكات الإخفاء، بما في ذلك Cephas، توسيع نطاق حملات البرامج الضارة عبر المواقع المخترقة والصفحات المزيفة للتحقق.
كشفت مجموعة الأمن السيبراني eSentire عن استخدام نوافذ منبثقة مزيفة بأسلوب CAPTCHA لخداع الضحايا لنشر برمجيات سرقة بيانات الاعتماد، وهي Amatera Stealer و NETSupport RAT، من خلال إساءة استخدام طريقة تُعرف بـ ClickFix.
قام فريق الاستجابة للتهديدات (TRU) التابع لـ eSentire بتتبع تصاعد في الحملات التي تسيء استخدام ClickFix لاكتساب الوصول الأولي إلى الأنظمة المستهدفة في نوفمبر. وفقًا لفريق TRU، يستخدم الفاعلون التهديديون هذه الطريقة للتلاعب اجتماعيًا بالضحايا لتشغيل أوامر ضارة يدويًا عبر موجه تشغيل Windows.
بمجرد تنفيذ هذه الأوامر، تُطلق سلسلة من عمليات الاختراق تنتهي بنشر أداة Amatera Stealer و NetSupport RAT، وهما أداتان شرعيتان لمراقبة عن بُعد تم إعادة توظيفهما من قبل مجرمي الإنترنت للوصول غير المصرح به عن بُعد.
حملة ClickFix تستخدم reCAPTCHA لإدخال البرمجيات الخبيثة
وفقًا لبحث شركة eSentire المنشورة في الخميس الماضي، استدرج القراصنة الضحايا باستخدام مواقع وهمية ونوافذ منبثقة تبدو وكأنها "فحوصات أمنية"، بما في ذلك صناديق تحقق مزيفة من reCAPTCHA وصفحات Cloudflare Turnstile مغشوشة.
تُحفّز الواجهات المخادعة المستخدمين على "إصلاح" مشكلة مفترضة، حيث تؤدي التعليمات إلى تنفيذهم لأوامر ضارة دون إدراك المخاطر. بمجرد تشغيل الأمر الأولي، يتم تسليم أداة Amatera Stealer أولاً، يليه تثبيت NetSupport Manager، الذي يسمح للقراصنة بمراقبة الجهاز المخترق والتحكم فيه كما لو كانوا حاضرين جسديًا.
لا تُعد أداة Amatera Stealer تهديدًا جديدًا تمامًا، بل هي أحدث تطور لـ ACR Stealer، المعروف أيضًا باسم AcridRain. ظهرت النسخة السابقة لأول مرة كمنتج برمجيات خبيثة كخدمة (Malware-as-a-Service) على منتديات القراصنة في عام 2024، حيث قام عدة مستخدمين بنشرها عبر باقات اشتراك.
تم إيقاف مبيعات ACR في منتصف عام 2024 عندما باع مطورها، المعروف عبر الإنترنت باسم SheldIO، الكود المصدري للبرمجية الخبيثة. وعلى الرغم من إعلان البيع، قالت المجموعة إنها "ليست النهاية" لتطويرها. يعتقد الباحثون الآن أن Amatera هي الخليفة المباشر لـ ACR، أعيد بناؤها بمزيد من القدرات وتقنيات التهرب الجديدة.
أماتيرا، التي اكتشفها مختبر تدقيق الأمن Proofpoint في يونيو، متاحة بنظام الاشتراك بدءًا من 199 دولارًا شهريًا إلى 1,499 دولارًا سنويًا.
وقالت eSentire: «توفر أماتيرا لفاعلي التهديد قدرات واسعة لسرقة البيانات تستهدف محافظ العملات المشفرة، والمتصفحات، وتطبيقات المراسلة، وعملاء FTP، وخدمات البريد الإلكتروني. كما تستخدم استراتيجيات متقدمة للتجنب مثل WoW64 SysCalls لتجاوز آليات الربط في وضع المستخدم المستخدمة من قبل بيئات الاختبار (Sandboxes)، وحلول مكافحة الفيروسات، ومنتجات EDR».
The malware is written in C++ and is capable of harvesting كلمات المرور المحفوظة، وتفاصيل البطاقات، وسجل التصفح، والملفات المستخرجة من متصفحات مثل Chrome وBrave وEdge وOpera وFirefox، ومنصات متخصصة مثل Tor Browser وThunderbird.
Multi-stage Windows PowerShell loaders hiding malware
وفقًا لتحليل التهديدات الصادر عن eSentire، فإن عملية إصابة Amatera مبنية على عدة طبقات من أوامر PowerShell المشفرة.
لاحظ باحثو TRU مرحلة تقوم بفك تشفير الحزم اللاحقة باستخدام عملية XOR على السلسلة "AMSI_RESULT_NOT_DETECTED"، وهي مصطلح مرتبط بواجهة Microsoft لفحص البرامج الضارة (Anti-Malware Scan Interface). وقد يكون مطوّر المحمّل قد اختار هذه العبارة عمدًا لخلط الباحثين الذين يقومون بالتحليل الديناميكي.
في حين أن Amatera هي الحزمة الأكثر شيوعًا التي يتم تسليمها في هذه الحملات، فقد وثّقت eSentire أيضًا حالات استُخدم فيها نفس المحمّل لنشر مسروقات معلومات أخرى، بما في ذلك Lumma وVidar. بعض العينات تفتقر إلى معاملات التكوين اللازمة لتشغيل محمّلات متعددة المراحل، مما دفع القراصنة إلى نشر NetSupport Manager مباشرةً بدلاً من ذلك.
وثّقت eSentire وشركات أمنية أخرى حملات بريد إلكتروني توزّع ملفات Visual Basic Script مُخفية تحت غلاف الفواتير. وعند فتح هذه الملفات، تُنفّذ سكريبتات Batch تبدأ محمّلات PowerShell التي تسلّم XWorm.
شملت حملات أخرى مواقع إلكترونية مخترقة تقوم بتوجيه الزوار إلى صفحات تحقق مزيفة من كلاودفلر، تحاكي نوافذ ClickFix. وقد رُبطت هذه الأنشطة بعملية تُعرف بأسماء متعددة منها SmartApeSG وHANEYMANEY وZPHP، جميعها تستخدم NetSupport RAT كحمولة نهائية.
قام القراصنة ببناء مواقع Booking.com احتيالية تستضيف اختبارات CAPTCHA مزيفة، وتطلب من المستخدمين فتح مربع تشغيل ويندوز وتنفيذ أمر معين، مما يؤدي مباشرة إلى تثبيت سكريبت لسرقة البيانات على الأنظمة المصابة.
بعض حملات التصيد الاحتيالي وتستخدم عمليات تسليم البرمجيات الخبيثة المرتبطة بهذه الهجمات مجموعة تصيد جديدة تُعرف باسم Cephas. فوفقًا لشركة حلول الأمن السيبراني Barracuda، تستخدم Cephas طريقة متقدمة للتعتيم تُدخل أحرفًا غير مرئية في كود المصدر لصفحات التصيد، مما يصعب على الفحوصات الآلية اكتشافها.
«تخفي المجموعة كودها عن طريق إنشاء أحرف غير مرئية عشوائية داخل كود المصدر، مما يساعدها على التهرب من أدوات كشف التصيد ويعيق قواعد YARA القائمة على التوقيعات من مطابقة طرق التصيد بدقة»، حسب Barracuda كتب في تحليلها الذي نُشر الأسبوع الماضي.
لا تكتفِ بقراءة أخبار العملات الرقمية فحسب، بل افهمها. اشترك في نشرتنا الإخبارية. مجانية.
إخلاء مسؤولية. المعلومات المقدمة ليست نصيحة تداول. Cryptopolitan.com لا تتحمل أي مسؤولية عن أي استثمارات تتم بناءً على المعلومات المقدمة في هذه الصفحة. نوصي بشدة بإجراء بحث مستقل و/أو الاستعانة بمستشار مؤهل قبل اتخاذ أي قرارات استثمارية.
فلورنس موتشاي
تغطي فلورانس منذ 6 سنوات أخبار العملات الرقمية، والألعاب، والتكنولوجيا، والذكاء الاصطناعي. وقد زودتها دراستها لعلوم الحاسوب في جامعة ميرو للعلوم والتكنولوجيا، ودراسة إدارة الكوارث والدبلوماسية الدولية في MMUST بالمهارات اللغوية والملاحظة والتقنية اللازمة. عملت فلورانس في مجموعة VAP Group وككاتبة تحريرية في عدة وسائل إعلام متخصصة في العملات الرقمية.
