كيف تعمل الهجمة: تقنية EtherHiding

الابتكار الرئيسي—والسبب في صعوبة تعطيل هذه الحملة—هو تقنية EtherHiding. فبدلاً من الاعتماد على خادم تحكم تقليدي يمكن إسقاطه، يخزن المهاجمون تعليمات الحمولة الضارة مباشرة داخل عقود سلسلة BNB الذكية . ونظرًا لأن محفظة البلوكشين التي نشرت العقد فقط هي من يمكنها تعديل محتواه، فإن إزالة التعليمات الضارة عبر الطرق التقليدية (كحجب المواقع أو إزالة المحتوى) يكاد يكون مستحيلاً . تتداخل هذه الحملة مع عملية ClearFake الخبيثة، والتي استخدمت سابقًا نوافذ تحديث المتصفح المزيفة لتوزيع البرامج الضارة .

سلسلة الإصابة: من موقع مخترق إلى برنامج ضار

يتكشف الهجوم عبر سلسلة قصيرة نسبيًا من الخطوات التي تستغل ثقة المستخدم وأدوات ويندوز المدمجة:

1. اختراق الموقع – يخترق المهاجمون مواقع إلكترونية شرعية (غالبًا مواقع ووردبريس) ويحقنون فيها كود JavaScript مُشفّر بـ Base64 .
2. استعلام البلوكشين – يتصل الكود المحقون بـ بوابة RPC لسلسلة BNB الذكية ويستعلم عن عقد ذكي محدد لجلب التعليمات الضارة للمرحلة التالية .
3. CAPTCHA مزيفة – يقوم المتصفح بفك تشفير التعليمات المستلمة ويعرض على المستخدم شاشة تحقق CAPTCHA مزيفة .
4. الهندسة الاجتماعية (ClickFix/TerminalFix) – يتم توجيه المستخدم لفتح نافذة التشغيل (Windows+R) أو الطرفية (Terminal) أو باورشيل (PowerShell)، ثم لصق أمر من الحافظة وتنفيذه . هذه هي خدعة الهندسة الاجتماعية الأساسية: فهي تجعل الضحية شريكًا غير واعٍ في عملية الإصابة.
5. تنفيذ البرنامج الضار – يقوم الأمر الملصوق بتنزيل وتنفيذ الحمولة الضارة النهائية .

أدوات ويندوز المستغلة (العيش على حساب الأرض)

لتجنب الاكتشاف، يستغل المهاجمون بشكل مكثف مكونات ويندوز الشرعية والمدمجة—وهي تقنية تُعرف باسم "العيش على حساب الأرض" (LOLBins) . الأدوات التي لوحظ استخدامها في هذه الحملة تشمل:

• conhost – مضيف وحدة التحكم المستخدم لتنفيذ الأوامر
• PowerShell – تنفيذ السكربتات وتنزيل الحمولات
• cmd (موجه الأوامر) – تنفيذ الأوامر مباشرة
• mshta – تشغيل ملفات HTA ضارة
• rundll32 – تحميل مكتبات DLL عبر سطر الأوامر
• curl – تنزيل الحمولات للمرحلة التالية
• WMI (أداة إدارة ويندوز) – للحركة الجانبية أو الثبات
• نافذة تشغيل ويندوز – نقطة التنفيذ الأولية وفقًا لخدعة ClickFix

باستخدام هذه المكونات الموثوقة من مايكروسوفت، يمكن للمهاجمين تجاوز العديد من دفاعات نقاط النهاية التقليدية .

عائلات البرامج الضارة التي تم تسليمها

لا تقتصر هذه الحملة على برنامج ضار واحد. إنها تعمل كآلية توصيل لمجموعة من أحصنة طروادة السارقة للمعلومات وبرامج الوصول عن بُعد :

• Lumma Stealer – الحمولة الأساسية التي لوحظت في العديد من الحالات . تجني كلمات مرور المتصفح، وبيانات اعتماد محافظ العملات الرقمية، وملفات تعريف الارتباط الخاصة بالجلسات، وغيرها من البيانات الحساسة.
• XWorm (Xworm) – حصان طروادة للوصول عن بُعد (RAT) قادر على سرقة البيانات وتنزيل حمولات إضافية.
• AsyncRAT – حصان طروادة للوصول عن بُعد مفتوح المصدر يُستخدم للمراقبة وتسجيل ضغطات المفاتيح وسرقة بيانات الاعتماد.
• MintsLoader – برنامج تنزيل/تحميل يُثبت برامج ضارة إضافية على النظام المخترق.
• أدوات الإدارة عن بُعد – أدوات شرعية يُحتمل إساءة استخدامها (مثل AnyDesk وبرامج مشاركة الشاشة) لتحقيق الثبات والحركة الجانبية.

يمكن أن يؤدي التنفيذ الناجح إلى كشف بيانات الاعتماد، وإنشاء وصول دائم، والحركة الجانبية داخل الشبكة، وفي النهاية نشر برامج الفدية . على أجهزة macOS، لوحظ أيضًا تسليم MacSync و Atomic Stealer .

إجراءات الحماية الموصى بها من مايكروسوفت

أصدرت مايكروسوفت عدة توصيات عملية للحماية من هذه الحملة :

1. تفعيل الحماية متعددة الطبقات في Microsoft Defender – تأكد من تفعيل الحماية في الوقت الفعلي، والحماية السحابية، وحماية العبث.
2. تقييد أدوات سطر الأوامر – استخدم AppLocker أو Windows Defender Application Control (WDAC) لحظر التنفيذ غير الموثوق لأدوات مثل PowerShell و mshta و rundll32.
3. تفعيل تسجيل سكربتات PowerShell – قم بتشغيل تسجيل كتلة السكربت والنسخ للكشف عن محاولات تنفيذ الأوامر المبهمة.
4. توعية المستخدم (الخطوة الأكثر أهمية) – لا تلصق أبدًا أوامر من مصادر غير معروفة أو غير موثوقة في نافذة التشغيل أو الطرفية أو باورشيل. لن يطلب منك أي CAPTCHA شرعي أبدًا القيام بأي من هذه الإجراءات.
5. حظر نقاط نهاية RPC للعقود الذكية – حيثما أمكن، قيّد الوصول الصادر إلى بوابات RPC العامة لسلسلة BNB الذكية من نقاط النهاية التي لا تتطلب وصولاً إلى البلوكشين.
6. استخدام Microsoft Defender for SmartScreen – تساعد هذه الأداة في حظر صفحات الويب الضارة في مرحلة الوصول الأولي، مما يمنع المستخدم من رؤية CAPTCHA المزيفة من الأساس .

الاكتشاف والتغطية

على الرغم من أن التحذير العام من مايكروسوفت لم يقدم قائمة شاملة بأسماء اكتشافات Microsoft Defender Antivirus المحددة لهذه الحملة بالذات ، إلا أن الأبحاث الأمنية ذات الصلة من يوليو وأغسطس 2026 تشير إلى أن Microsoft Defender for Endpoint يوفر تغطية سلوكية لـ :

• أنماط تنفيذ العيش على حساب الأرض
• نشاط WebDAV و MSHTA المشبوه
• تنفيذ PowerShell المبهم
• ثبات المهام المجدولة
• تنفيذ الحمولة في الذاكرة
• سرقة بيانات اعتماد المتصفح

مدونة ClickFix الخاصة بـ macOS التي نشرتها مايكروسوفت في 5 أغسطس 2026 وثقت أن Microsoft Defender for SmartScreen يحجب صفحة الويب الضارة، وأن Defender XDR يوفر تغطية سطحية بموجب تعيينات تكتيك وتقنية محددة . تتضمن اكتشافات Microsoft Defender Antivirus لعائلة تهديدات ClickFix الأوسع أسماء مثل Behavior:Win32/ClickFix و Trojan:Win32/ClickFix و Trojan:HTML/FakeCaptcha ، على الرغم من أن التوقيعات المحددة لحقن JavaScript المتعلقة بسلسلة BNB في هذه الحملة قد تم نشرها ولكن لم يتم تسميتها بشكل فردي في التحذير العام .

كيف تعمل الهجمة: تقنية EtherHiding

الابتكار الرئيسي—والسبب في صعوبة تعطيل هذه الحملة—هو تقنية EtherHiding. فبدلاً من الاعتماد على خادم تحكم تقليدي يمكن إسقاطه، يخزن المهاجمون تعليمات الحمولة الضارة مباشرة داخل عقود سلسلة BNB الذكية . ونظرًا لأن محفظة البلوكشين التي نشرت العقد فقط هي من يمكنها تعديل محتواه، فإن إزالة التعليمات الضارة عبر الطرق التقليدية (كحجب المواقع أو إزالة المحتوى) يكاد يكون مستحيلاً . تتداخل هذه الحملة مع عملية ClearFake الخبيثة، والتي استخدمت سابقًا نوافذ تحديث المتصفح المزيفة لتوزيع البرامج الضارة .

سلسلة الإصابة: من موقع مخترق إلى برنامج ضار

يتكشف الهجوم عبر سلسلة قصيرة نسبيًا من الخطوات التي تستغل ثقة المستخدم وأدوات ويندوز المدمجة:

1. اختراق الموقع – يخترق المهاجمون مواقع إلكترونية شرعية (غالبًا مواقع ووردبريس) ويحقنون فيها كود JavaScript مُشفّر بـ Base64 .
2. استعلام البلوكشين – يتصل الكود المحقون بـ بوابة RPC لسلسلة BNB الذكية ويستعلم عن عقد ذكي محدد لجلب التعليمات الضارة للمرحلة التالية .
3. CAPTCHA مزيفة – يقوم المتصفح بفك تشفير التعليمات المستلمة ويعرض على المستخدم شاشة تحقق CAPTCHA مزيفة .
4. الهندسة الاجتماعية (ClickFix/TerminalFix) – يتم توجيه المستخدم لفتح نافذة التشغيل (Windows+R) أو الطرفية (Terminal) أو باورشيل (PowerShell)، ثم لصق أمر من الحافظة وتنفيذه . هذه هي خدعة الهندسة الاجتماعية الأساسية: فهي تجعل الضحية شريكًا غير واعٍ في عملية الإصابة.
5. تنفيذ البرنامج الضار – يقوم الأمر الملصوق بتنزيل وتنفيذ الحمولة الضارة النهائية .

أدوات ويندوز المستغلة (العيش على حساب الأرض)

لتجنب الاكتشاف، يستغل المهاجمون بشكل مكثف مكونات ويندوز الشرعية والمدمجة—وهي تقنية تُعرف باسم "العيش على حساب الأرض" (LOLBins) . الأدوات التي لوحظ استخدامها في هذه الحملة تشمل:

• conhost – مضيف وحدة التحكم المستخدم لتنفيذ الأوامر
• PowerShell – تنفيذ السكربتات وتنزيل الحمولات
• cmd (موجه الأوامر) – تنفيذ الأوامر مباشرة
• mshta – تشغيل ملفات HTA ضارة
• rundll32 – تحميل مكتبات DLL عبر سطر الأوامر
• curl – تنزيل الحمولات للمرحلة التالية
• WMI (أداة إدارة ويندوز) – للحركة الجانبية أو الثبات
• نافذة تشغيل ويندوز – نقطة التنفيذ الأولية وفقًا لخدعة ClickFix

باستخدام هذه المكونات الموثوقة من مايكروسوفت، يمكن للمهاجمين تجاوز العديد من دفاعات نقاط النهاية التقليدية .

عائلات البرامج الضارة التي تم تسليمها

لا تقتصر هذه الحملة على برنامج ضار واحد. إنها تعمل كآلية توصيل لمجموعة من أحصنة طروادة السارقة للمعلومات وبرامج الوصول عن بُعد :

• Lumma Stealer – الحمولة الأساسية التي لوحظت في العديد من الحالات . تجني كلمات مرور المتصفح، وبيانات اعتماد محافظ العملات الرقمية، وملفات تعريف الارتباط الخاصة بالجلسات، وغيرها من البيانات الحساسة.
• XWorm (Xworm) – حصان طروادة للوصول عن بُعد (RAT) قادر على سرقة البيانات وتنزيل حمولات إضافية.
• AsyncRAT – حصان طروادة للوصول عن بُعد مفتوح المصدر يُستخدم للمراقبة وتسجيل ضغطات المفاتيح وسرقة بيانات الاعتماد.
• MintsLoader – برنامج تنزيل/تحميل يُثبت برامج ضارة إضافية على النظام المخترق.
• أدوات الإدارة عن بُعد – أدوات شرعية يُحتمل إساءة استخدامها (مثل AnyDesk وبرامج مشاركة الشاشة) لتحقيق الثبات والحركة الجانبية.

يمكن أن يؤدي التنفيذ الناجح إلى كشف بيانات الاعتماد، وإنشاء وصول دائم، والحركة الجانبية داخل الشبكة، وفي النهاية نشر برامج الفدية . على أجهزة macOS، لوحظ أيضًا تسليم MacSync و Atomic Stealer .

إجراءات الحماية الموصى بها من مايكروسوفت

أصدرت مايكروسوفت عدة توصيات عملية للحماية من هذه الحملة :

1. تفعيل الحماية متعددة الطبقات في Microsoft Defender – تأكد من تفعيل الحماية في الوقت الفعلي، والحماية السحابية، وحماية العبث.
2. تقييد أدوات سطر الأوامر – استخدم AppLocker أو Windows Defender Application Control (WDAC) لحظر التنفيذ غير الموثوق لأدوات مثل PowerShell و mshta و rundll32.
3. تفعيل تسجيل سكربتات PowerShell – قم بتشغيل تسجيل كتلة السكربت والنسخ للكشف عن محاولات تنفيذ الأوامر المبهمة.
4. توعية المستخدم (الخطوة الأكثر أهمية) – لا تلصق أبدًا أوامر من مصادر غير معروفة أو غير موثوقة في نافذة التشغيل أو الطرفية أو باورشيل. لن يطلب منك أي CAPTCHA شرعي أبدًا القيام بأي من هذه الإجراءات.
5. حظر نقاط نهاية RPC للعقود الذكية – حيثما أمكن، قيّد الوصول الصادر إلى بوابات RPC العامة لسلسلة BNB الذكية من نقاط النهاية التي لا تتطلب وصولاً إلى البلوكشين.
6. استخدام Microsoft Defender for SmartScreen – تساعد هذه الأداة في حظر صفحات الويب الضارة في مرحلة الوصول الأولي، مما يمنع المستخدم من رؤية CAPTCHA المزيفة من الأساس .

الاكتشاف والتغطية

على الرغم من أن التحذير العام من مايكروسوفت لم يقدم قائمة شاملة بأسماء اكتشافات Microsoft Defender Antivirus المحددة لهذه الحملة بالذات ، إلا أن الأبحاث الأمنية ذات الصلة من يوليو وأغسطس 2026 تشير إلى أن Microsoft Defender for Endpoint يوفر تغطية سلوكية لـ :

• أنماط تنفيذ العيش على حساب الأرض
• نشاط WebDAV و MSHTA المشبوه
• تنفيذ PowerShell المبهم
• ثبات المهام المجدولة
• تنفيذ الحمولة في الذاكرة
• سرقة بيانات اعتماد المتصفح

مدونة ClickFix الخاصة بـ macOS التي نشرتها مايكروسوفت في 5 أغسطس 2026 وثقت أن Microsoft Defender for SmartScreen يحجب صفحة الويب الضارة، وأن Defender XDR يوفر تغطية سطحية بموجب تعيينات تكتيك وتقنية محددة . تتضمن اكتشافات Microsoft Defender Antivirus لعائلة تهديدات ClickFix الأوسع أسماء مثل Behavior:Win32/ClickFix و Trojan:Win32/ClickFix و Trojan:HTML/FakeCaptcha ، على الرغم من أن التوقيعات المحددة لحقن JavaScript المتعلقة بسلسلة BNB في هذه الحملة قد تم نشرها ولكن لم يتم تسميتها بشكل فردي في التحذير العام .