قد يكون برنامج JSCEAL الخبيث الذي يسرق بياناتdentقد انتشر إلى أكثر من 10 ملايين مستخدم

كشفت شركة تشيك بوينت للأبحاث عن حملة برمجية خبيثة جديدة تحمل اسم JSCEAL، تحاكي 50 منصة عملات رقمية شائعة. وتستخدم هذه العملية إعلانات خبيثة لتوزيع تطبيقات مزيفة تستهدف المستخدمين.

تشير التقديرات إلى أن حوالي 10 ملايين شخص حول العالم تعرضوا لهجمات إلكترونية. وتستغل هذه الحملة ملفات جافا سكريبت مُجمّعة لسرقة محافظ العملات الرقمية وبياناتdentبكفاءة.

حملة إعلانية خبيثة تصل إلى 10 ملايين مستخدم

كشفت حملة JSCEAL عن حوالي 35 ألف إعلان خبيث في النصف الأول من عام 2025، وحصدت هذه الإعلانات ملايين المشاهدات في الاتحاد الأوروبي. وتشير تقديرات شركة Check Point Research إلى أن حوالي 10 ملايين شخص شاهدوا هذه الإعلانات حول العالم.

نشر أشخاص ذوو نوايا سيئة مواد ضارة عبر حسابات مخترقة أو حسابات جديدة. وساهمت المنشورات الترويجية في نشر إعلانات مزيفة على مواقع التواصل الاجتماعي، تناولت في معظمها العملات المشفرة والرموز الرقمية والبنوك.

نُفذت الحملة باستخدام ما يقارب 50 مؤسسة مالية مختلفة عبر تطبيقات مزيفة. سجّل المهاجمون أسماء نطاقات وفقًا لبعض معايير التسمية لإعادة التوجيه. احتوت نطاقات المستوى الأعلى على امتداد .com وفقًا للمصطلحات ذات الصلة.

تضمنت الأنماط في النطاق إصدارات التطبيق، والتنزيل، وسطح المكتب، والكمبيوتر الشخصي، وويندوز. استُخدمت كل كلمة بصيغة المفرد أو الجمع في النطاقات. تُظهر الحسابات التوافقية وجود 560 اسم نطاق فريدًا متوافقًا مع القواعد.

لم يظهر سوى 15% من النطاقات المحتملة مسجلة وقت النشر. وقد قامت سلاسل إعادة التوجيه بتصفية الأهداف بناءً على عنوان IP ومصادر الإحالة.

تلقى الضحايا خارج النطاقات المستهدفة مواقع ويب وهمية بدلاً من المحتوى الضار. وكان من الضروري وجود روابط إحالة من فيسبوك لإتمام عملية إعادة التوجيه إلى الصفحات المزيفة بنجاح. وقد ساعد نظام الفلترة المهاجمين على تجنب الكشف عنهم أثناء وصولهم إلى ضحاياهم المستهدفين.

قدّمت مكتبة إعلانات ميتا تقديرات لمدى وصول الإعلانات داخل الاتحاد الأوروبي. وتفترض الحسابات المتحفظة أن كل إعلان وصل إلى 100 مستخدم كحد أدنى. وقد تجاوز إجمالي وصول الحملة 3.5 مليون مستخدم داخل حدود الاتحاد الأوروبي.

قد يتجاوز نطاق الوصول العالمي بسهولة 10 ملايين شخص، مع الأخذ في الاعتبار الدول غير الأعضاء في الاتحاد الأوروبي. كما تم انتحال شخصيات مؤسسات مالية آسيوية متخصصة في العملات المشفرة في الحملات الإعلانية.

تستخدم الحملة أساليب خداع متطورة لتجنب الكشف عنها

تستخدم حملة JSCEAL أساليب معينة لمكافحة التهرب، مما يؤدي إلى انخفاض معدلات اكتشافها بشكل كبير. ووفقًا لتحليل شركة Check Point، ظلّت البرمجية الخبيثة غير مكتشفة لفترات طويلة. وتساعد هذه التقنيات المتطورة المهاجمين على تجاوز إجراءات الأمان التقليدية عبر منصات متعددة.

يُوجَّه الضحايا الذين ينقرون على الإعلانات الخبيثة إلى مواقع ويب مزيفة تبدو شرعية. تشجع هذه المواقع المزيفة على تحميل تطبيقات خبيثة تبدو أصلية. يصمم المهاجمون مواقع الويب لتقليد واجهات منصات العملات المشفرة الحقيقية بدقة.

يستغل هذا البرنامج الخبيث تشغيل الموقع الإلكتروني وبرنامج التثبيت في آنٍ واحد. هذا النهج المزدوج يُعقّد جهود التحليل والكشف بالنسبة لباحثي الأمن السيبراني. تبدو المكونات الفردية غير ضارة عند فحصها بشكل منفصل، مما يجعل اكتشافها صعباً.

تُقنع هذه الحيلة الخادعة الضحايا بأنهم قاموا بتثبيت برامج أصلية. وفي الوقت نفسه، يعمل البرنامج الخبيث في الخلفية، ويجمع معلومات حساسة دون علم المستخدمين.

تستهدف الحملة مستخدمي العملات المشفرة تحديدًا من خلال انتحال صفة المنصات. ويركز المهاجمون على تطبيقات التداول الشائعة وبرامج المحافظ الرقمية. وكان المستخدمون الذين يبحثون عن أدوات شرعية للعملات المشفرة هم الأكثر عرضة لهذه الحملة.

يصف باحثو شركة Check Point أسلوب التهرب من الكشف بأنه فعال للغاية. وتواجه برامج الحماية التقليدية صعوبة فيdentالتهديدات باستخدام هذه الأساليب. ويخلق الجمع بين واجهات تبدو شرعية وبرامج خبيثة مخفية سيناريوهات خطيرة.

تقوم البرامج الضارة بجمع البيانات المتعلقة بالعملات المشفرة وبياناتdentالمستخدم بشكلmatic

يتمثل الهدف الرئيسي للبرمجيات الخبيثة في جمع معلومات حساسة من الأجهزة المصابة. يقوم المهاجمون بجمع البيانات للوصول إلى حسابات العملات المشفرة وسرقة الأصول الرقمية. تتم عملية جمع المعلوماتmaticدون الحاجة إلى تفاعل المستخدم أو علمه.

يلتقط برنامج JSCEAL مدخلات لوحة المفاتيح، كاشفًا كلمات المرور وبيانات اعتمادdentعبر التطبيقات. تسجل وظيفة تسجيل ضغطات المفاتيح كل ما يكتبه المستخدمون، بما في ذلك كلمات مرور محافظ العملات الرقمية. كما يستهدف البرنامج معلومات حسابات تيليجرام لاختراقها.

كما يقومون بجمع ملفات تعريف الارتباط الخاصة بالمتصفح والتي تُظهر المواقع الإلكترونية التي يزورها الضحايا بكثرة وتفضيلاتهم. ويمكن للمهاجمين أيضًا الوصول إلى كلمات المرور المُخزّنة في المتصفحات والتي تُكمل تلقائيًا.