وقع هذا الاكتشاف خلال اختبار شهادة AppEsteem للإصدار 1.251.91.0 من المتصفح، وكان مثيرًا للقلق لأن الملف الخبيث لم يكن جزءًا من حزمة البرامج المعتمدة. قيّمت Sophos الحادثة على أنها اختراق لخط أنابيب التوزيع (Distribution Pipeline Compromise)، مما يعني أن المهاجم تمكن من حقن الحمولة الخبيثة في عملية بناء البرنامج أو حزمه بعد كتابة الكود الشرعي. وقد أيدت شركة Sygnia للأمن السيبراني هذا التقييم بشكل مستقل .

كيف كان يعمل برنامج التعدين بصمت

صُممت حمولة XMRig لتكون شديدة التخفي. على عكس البرمجيات الخبيثة التي تعلن عن وجودها من خلال استنزاف أداء الجهاز، تم تكوين هذا المُعدِّن ليعمل فقط عندما يكون نظام التشغيل في حالة خمول، مما قلل من خطر اكتشافه من قبل المستخدم .

بمجرد تثبيته، قام البرنامج الخبيث بتثبيت وجوده على الجهاز من خلال سلسلة من الإجراءات المحسوبة:

• وضع الملفات: قام المُعدِّن بنسخ نفسه إلى المسار C:\Program Files\Hola\HolaMonitorService.exe، وهو اسم ومسار صُمما ليبدو وكأنهما مكون مراقبة شرعي للمتصفح .
• إنشاء خدمة ويندوز: أنشأ خدمة ويندوز باسم hola_monitor_svc وضبطها على نوع بدء تشغيل 0x00000002، مما يضمن تشغيلها تلقائيًا في كل مرة يتم فيها إقلاع النظام .
• تجنب برنامج الحماية: لتجنب فحص برامج مكافحة الفيروسات المدمجة، أضاف البرنامج الخبيث مسار استثناء في Windows Defender .
• التشويش وإخفاء الهوية: كان الملف الثنائي me.exe غير موقع رقميًا، ومشوشًا، ويفتقر إلى ختم زمني صحيح. لاحظ الباحثون الأمنيون أن اسم الملف نفسه بدا أنه اختير لمظهره غير الملحوظ، مما سمح له بالاندماج مع العمليات الشرعية .

نطاق الهجوم: محدود لكنه خطير

كان نطاق الاختراق ضيقًا نسبيًا. قدرت Sophos أن حوالي 0.1% من مستخدمي متصفح Hola تضرروا فقط . ورغم كونها نسبة صغيرة، إلا أن الحادثة تمثل نموذجًا كلاسيكيًا لهجوم سلسلة التوريد: قناة توزيع برامج موثوقة تنقلب على مستخدميها، متجاوزة إجراءات التدقيق الأمني التي يضعها المستخدمون عادة على البرامج الرسمية.

لم يكن الهجوم اختراقًا لكود المصدر الخاص بـ Hola. بدلاً من ذلك، سلط الضوء على ثغرة خطيرة في خط أنابيب بناء وإصدار البرامج؛ تذكير بأنه حتى عندما يكتب المطورون كودًا نظيفًا، فإن الاختراق أثناء مرحلة التجميع أو الحزم أو التوزيع يمكن أن يسمم المنتج النهائي .

كيف استجابت شركة Hola

بمجرد أن أبلغت Sophos X-Ops عن النتائج، تحركت Hola لاحتواء التهديد ومنع تكراره. شملت إجراءات الشركة العلاجية:

• إعادة بناء خط أنابيب التوزيع من الألف إلى الياء للقضاء على أي وصول متبق للمهاجم .
• تطبيق التحقق من توقيع الكود لمنع مرور أي ملفات ثنائية غير موقعة أو غير مصرح بها عبر عملية البناء .
• إدخال ضوابط وصول أكثر صرامة ومراقبة مستمرة على البنية التحتية للتوزيع .

ورغم هذه الإجراءات، لا تزال أسئلة حاسمة دون إجابة حتى تاريخ الكشف العلني في 4 يونيو 2026. لم تكشف Hola علنًا عن نقطة الهجوم - أي كيف تم اختراق خط الأنابيب في البداية - ولا عن هوية الجهة المهددة، أو مدة وصولهم إلى الأنظمة. لا تزال الصورة الجنائية الكاملة مغلقة أمام الجمهور، مما يترك للمستخدمين ومجتمع الأمن السيبراني قصة تحذيرية مع فهم غير مكتمل للتهديد .

وقع هذا الاكتشاف خلال اختبار شهادة AppEsteem للإصدار 1.251.91.0 من المتصفح، وكان مثيرًا للقلق لأن الملف الخبيث لم يكن جزءًا من حزمة البرامج المعتمدة. قيّمت Sophos الحادثة على أنها اختراق لخط أنابيب التوزيع (Distribution Pipeline Compromise)، مما يعني أن المهاجم تمكن من حقن الحمولة الخبيثة في عملية بناء البرنامج أو حزمه بعد كتابة الكود الشرعي. وقد أيدت شركة Sygnia للأمن السيبراني هذا التقييم بشكل مستقل .

كيف كان يعمل برنامج التعدين بصمت

صُممت حمولة XMRig لتكون شديدة التخفي. على عكس البرمجيات الخبيثة التي تعلن عن وجودها من خلال استنزاف أداء الجهاز، تم تكوين هذا المُعدِّن ليعمل فقط عندما يكون نظام التشغيل في حالة خمول، مما قلل من خطر اكتشافه من قبل المستخدم .

بمجرد تثبيته، قام البرنامج الخبيث بتثبيت وجوده على الجهاز من خلال سلسلة من الإجراءات المحسوبة:

• وضع الملفات: قام المُعدِّن بنسخ نفسه إلى المسار C:\Program Files\Hola\HolaMonitorService.exe، وهو اسم ومسار صُمما ليبدو وكأنهما مكون مراقبة شرعي للمتصفح .
• إنشاء خدمة ويندوز: أنشأ خدمة ويندوز باسم hola_monitor_svc وضبطها على نوع بدء تشغيل 0x00000002، مما يضمن تشغيلها تلقائيًا في كل مرة يتم فيها إقلاع النظام .
• تجنب برنامج الحماية: لتجنب فحص برامج مكافحة الفيروسات المدمجة، أضاف البرنامج الخبيث مسار استثناء في Windows Defender .
• التشويش وإخفاء الهوية: كان الملف الثنائي me.exe غير موقع رقميًا، ومشوشًا، ويفتقر إلى ختم زمني صحيح. لاحظ الباحثون الأمنيون أن اسم الملف نفسه بدا أنه اختير لمظهره غير الملحوظ، مما سمح له بالاندماج مع العمليات الشرعية .

نطاق الهجوم: محدود لكنه خطير

كان نطاق الاختراق ضيقًا نسبيًا. قدرت Sophos أن حوالي 0.1% من مستخدمي متصفح Hola تضرروا فقط . ورغم كونها نسبة صغيرة، إلا أن الحادثة تمثل نموذجًا كلاسيكيًا لهجوم سلسلة التوريد: قناة توزيع برامج موثوقة تنقلب على مستخدميها، متجاوزة إجراءات التدقيق الأمني التي يضعها المستخدمون عادة على البرامج الرسمية.

لم يكن الهجوم اختراقًا لكود المصدر الخاص بـ Hola. بدلاً من ذلك، سلط الضوء على ثغرة خطيرة في خط أنابيب بناء وإصدار البرامج؛ تذكير بأنه حتى عندما يكتب المطورون كودًا نظيفًا، فإن الاختراق أثناء مرحلة التجميع أو الحزم أو التوزيع يمكن أن يسمم المنتج النهائي .

كيف استجابت شركة Hola

بمجرد أن أبلغت Sophos X-Ops عن النتائج، تحركت Hola لاحتواء التهديد ومنع تكراره. شملت إجراءات الشركة العلاجية:

• إعادة بناء خط أنابيب التوزيع من الألف إلى الياء للقضاء على أي وصول متبق للمهاجم .
• تطبيق التحقق من توقيع الكود لمنع مرور أي ملفات ثنائية غير موقعة أو غير مصرح بها عبر عملية البناء .
• إدخال ضوابط وصول أكثر صرامة ومراقبة مستمرة على البنية التحتية للتوزيع .

ورغم هذه الإجراءات، لا تزال أسئلة حاسمة دون إجابة حتى تاريخ الكشف العلني في 4 يونيو 2026. لم تكشف Hola علنًا عن نقطة الهجوم - أي كيف تم اختراق خط الأنابيب في البداية - ولا عن هوية الجهة المهددة، أو مدة وصولهم إلى الأنظمة. لا تزال الصورة الجنائية الكاملة مغلقة أمام الجمهور، مما يترك للمستخدمين ومجتمع الأمن السيبراني قصة تحذيرية مع فهم غير مكتمل للتهديد .