مايكروسوفت تحذر من برنامج اختطاف عملات رقمية في ويندوز يسرق عبارات الاسترداد والمفاتيح والمحافظ عبر تور ومحركات USB

أشارت مايكروسوفت إلى برنامج ضال يعمل بهدوء منذ فبراير ويستهدف أجهزة ويندوز. البرنامج الضال، المسمى كريبو بانديتس (CryptoBandits)، يمكنه سرقة عبارات البذور والمفاتيح والمحافظات عبر شبكة تور ونقلها عبر محركات أقراص USB. 

في مدونة المنشور نُشرت في 17 يونيو، كشف خبراء استخبارات التهديدات لدى مايكروسوفت ومندافير عن حملة ضالة كانت تستنزف محافظ العملات المشفرة دون أن يلاحظ الضحايا ذلك. قدم خبراء أمان مايكروسوفت مزيجاً من تكتيكات دودة USB التقليدية وأدوات الخصوصية الحديثة التي جعلت البرنامج الضال غير قابل للكشف عنه لأشهر.

ووفقاً للباحثين، يمكن للحملة الضالة تنفيذ سرقة الحافظة، واستبدال عنوان المحفظة، والانتشار على شكل دودة، والتواصل عبر تور في برنامج واحد. كما احتفظ البرنامج بالوصول إلى الجهاز المحلي حتى بعد تنفيذ الكود الضال. 

تشرح مايكروسوفت كيفية تنفيذ العدوى

كشف منشور المدونة التفصيلي لـ مايكروسوفت أن العدوى بدأت بالطريقة القديمة، عبر عصا USB. ثم قام البرمجيات الخبيثة بالوصول إلى ملفات الاختصارات التي تم إسقاطها على محركات الأقراص القابلة للإزالة. بمجرد توصيلها بجهاز، تنشط مكون الدودة على الفور. 

يبحث مكون الدودة عن الملفات العادية مثل ملفات DOC والجداول الحسابية وPDF على الجهاز، ويخفي الملفات الحقيقية، ويستبدلها باختصارات مزيفة تحمل نفس الأسماء. بمجرد القيام بذلك، ينقر مستخدمو ويندوز غير المدركين على الاختصارات، ظناً منهم أنهم يفتحون ملف وورد أو إكسل المعتاد، لكن الفعل في الواقع يشغل البرمجيات الخبيثة.

ثم ينتشر البرمجيات الخبيثة إلى محرك أقراص USB الخاص بالجهاز ويعدد مهام مجدولة للحفاظ على تشغيله بعد إعادة التشغيل، ويستثني نفسه من عمليات فحص مندافير. 

عند تنشيط الملتقط الفعلي في المرحلة الثانية، يعتمد الحمولة النصية على Windows ScriptHost وActive X بدلاً من مثبت نموذجي، مما يجعلها صعبة الكشف للغاية. 

بمجرد إعداد كل شيء، يشغل البرمجيات الخبيثة عميل تور في نافذة مخفية ويولد معرف ضحية فريد، ويسجل نفسه مع خادم قيادة وتحكم مخفي خلف عنوان onion على تور. بهذه الطريقة، يمكن للبرمجيات الخبيثة توجيه المعلومات بنجاح عبر هذا القناة المخفية دون أن يتم اكتشافها. 

مايكروسوفت حول سبب صعوبة التقاط هذا البرمجيات الخبيثة

شرح فريق أمان مايكروسوفت أن البرمجيات الخبيثة تستقر في حلقة، تستجوب مشغليها وتفحص الحافظة تقريباً كل نصف ثانية. تم تطوير البرنامج خصيصاً للتعرف على عبارات البذور BIP39 المكونة من 12 أو 24 كلمة. 

يفحص البرمجيات الخبيثة مفاتيح إيثيريوم و البيتكوين المفاتيح الخاصة بتنسيق WIF، ويحفظ نسخة احتياطية محلية، ويرفعها إلى خوادم المهاجمين عبر شبكة تور. وهو مصمم لإعادة محاولة تسلسل الأحداث نفسه عدة مرات حتى يتم الرفع بنجاح. ثم يحذف البرمجيات الخبيثة النسخة المحلية، فقط بعد نجاح الرفع، ويأخذ لقطات شاشة متعددة كل ثانية، مما يمنح المهاجمين قراءة بصرية لرصيد المحفظة ونشاط الضحية. 

إذا ظهر عنوان محفظة في الحافظة، يمكن للبرمجيات الخبيثة استبداله بعنوان يتحكم فيه المهاجم قبل أن يلصقه الضحية. انسخ عنوان بيتكوين لإجراء دفعة، وما يصل في حقل الوجهة قد ينتمي لشخص آخر تماماً.

يدفع برنامج Microsoft Defender Antivirus الآن تحذيراً عن التهديد باسم Trojan:Win32/CryptoBandits.A، ويراقب Defender for Endpoint سلوكيات مثل عمليات JavaScript المشبوهة واستخراج البيانات المستند إلى curl.