صُممت حمولة XMRig لتكون شديدة التخفي. على عكس البرمجيات الخبيثة التي تعلن عن وجودها من خلال استنزاف أداء الجهاز، تم تكوين هذا المُعدِّن ليعمل فقط عندما يكون نظام التشغيل في حالة خمول، مما قلل من خطر اكتشافه من قبل المستخدم .
بمجرد تثبيته، قام البرنامج الخبيث بتثبيت وجوده على الجهاز من خلال سلسلة من الإجراءات المحسوبة:
C:\Program Files\Hola\HolaMonitorService.exehola_monitor_svc وضبطها على نوع بدء تشغيل 0x00000002، مما يضمن تشغيلها تلقائيًا في كل مرة يتم فيها إقلاع النظام me.exe غير موقع رقميًا، ومشوشًا، ويفتقر إلى ختم زمني صحيح. لاحظ الباحثون الأمنيون أن اسم الملف نفسه بدا أنه اختير لمظهره غير الملحوظ، مما سمح له بالاندماج مع العمليات الشرعية كان نطاق الاختراق ضيقًا نسبيًا. قدرت Sophos أن حوالي 0.1% من مستخدمي متصفح Hola تضرروا فقط . ورغم كونها نسبة صغيرة، إلا أن الحادثة تمثل نموذجًا كلاسيكيًا لهجوم سلسلة التوريد: قناة توزيع برامج موثوقة تنقلب على مستخدميها، متجاوزة إجراءات التدقيق الأمني التي يضعها المستخدمون عادة على البرامج الرسمية.
لم يكن الهجوم اختراقًا لكود المصدر الخاص بـ Hola. بدلاً من ذلك، سلط الضوء على ثغرة خطيرة في خط أنابيب بناء وإصدار البرامج؛ تذكير بأنه حتى عندما يكتب المطورون كودًا نظيفًا، فإن الاختراق أثناء مرحلة التجميع أو الحزم أو التوزيع يمكن أن يسمم المنتج النهائي .
بمجرد أن أبلغت Sophos X-Ops عن النتائج، تحركت Hola لاحتواء التهديد ومنع تكراره. شملت إجراءات الشركة العلاجية:
ورغم هذه الإجراءات، لا تزال أسئلة حاسمة دون إجابة حتى تاريخ الكشف العلني في 4 يونيو 2026. لم تكشف Hola علنًا عن نقطة الهجوم - أي كيف تم اختراق خط الأنابيب في البداية - ولا عن هوية الجهة المهددة، أو مدة وصولهم إلى الأنظمة. لا تزال الصورة الجنائية الكاملة مغلقة أمام الجمهور، مما يترك للمستخدمين ومجتمع الأمن السيبراني قصة تحذيرية مع فهم غير مكتمل للتهديد .
Comments
0 comments