ما هي برمجية SHub Reaper وكيف تسرق بيانات مستخدمي macOS

لطالما اعتبر كثيرون أن أجهزة macOS أقل عرضة للبرمجيات الخبيثة مقارنةً بأنظمة أخرى. لكن الواقع تغيّر في السنوات الأخيرة، إذ بدأت حملات سرقة البيانات (Infostealers) تستهدف مستخدمي ماك بشكل متزايد.

أحدث مثال على ذلك هو SHub Reaper، وهو إصدار متطور من عائلة برمجيات SHub Stealer مصمم لسرقة البيانات الحساسة بينما يتخفّى على شكل أدوات أو تحديثات موثوقة. وتشير تقارير أمنية إلى أن الحملة تعتمد على انتحال خدمات مرتبطة بـ Apple وGoogle وMicrosoft لإقناع المستخدمين بتثبيت سكربتات خبيثة تجمع البيانات سراً من أجهزتهم.

ما هي SHub Reaper؟

تُصنف SHub Reaper كـ برمجية سرقة معلومات (Infostealer) على macOS، أي أن هدفها الأساسي هو جمع البيانات الحساسة من الجهاز المصاب وإرسالها إلى المهاجمين.

وهي جزء من عائلة SHub Stealer التي ظهرت في عدة حملات تستهدف مستخدمي ماك بهدف سرقة بيانات تسجيل الدخول واختراق محافظ العملات الرقمية.

بعد تثبيتها، تحاول البرمجية جمع أنواع متعددة من المعلومات، مثل:

• كلمات مرور المتصفحات وبيانات تسجيل الدخول المخزنة
• بيانات Apple Keychain (مخزن كلمات المرور في macOS)
• معلومات مرتبطة بخدمة iCloud
• الملفات والوسائط المخزنة محلياً
• بيانات محافظ العملات الرقمية والتطبيقات المرتبطة بها

وتظهر التحليلات الأمنية أن برمجيات عائلة SHub قادرة أيضاً على استخراج بيانات من عدة متصفحات وجلسات مراسلة، إضافةً إلى محاولة الحصول على مفاتيح المحافظ أو عبارات الاسترداد الخاصة بالعملات الرقمية.

كيف تعمل الهجمة متعددة المراحل؟

على عكس كثير من البرمجيات الخبيثة التي تستغل ثغرات تقنية، تعتمد حملة SHub Reaper بشكل أساسي على الهندسة الاجتماعية، أي خداع المستخدم ليشغّل الكود الخبيث بنفسه.

غالباً ما تمر عملية الاختراق بعدة مراحل.

1. صفحات تنزيل أو تحديثات مزيفة

في البداية يواجه المستخدم صفحة تنزيل أو تحديث مزيفة تبدو وكأنها تخص برنامجاً شرعياً أو أداة نظام.

وقد رصد الباحثون أمثلة مثل:

• مُثبّتات مزيفة لتطبيقات مثل WeChat أو Miro
• مواقع تنتحل برنامج الصيانة الشهير CleanMyMac
• صفحات تدّعي أنها أدوات أمان أو تحديثات من Apple

ولزيادة المصداقية، قد تُستضاف بعض الملفات على نطاقات تشبه نطاقات Microsoft أو يتم عرض البرمجية على أنها جزء من أدوات أمان Apple.

2. خدعة "ClickFix"

تستخدم كثير من الهجمات المرتبطة بعائلة SHub تقنية تُعرف باسم ClickFix.

في هذا الأسلوب يُطلب من المستخدم حل مشكلة أو إكمال التثبيت عبر:

• فتح تطبيق Terminal
• نسخ ولصق أمر معين

الموقع يزعم أن الأمر سيصلح مشكلة أو يثبت أداة مفيدة، لكن في الحقيقة يقوم بتنزيل وتشغيل الكود الخبيث.

ولأن المستخدم يشغّل الأمر بنفسه، فإن ذلك قد يتجاوز بعض التحذيرات الأمنية التي تظهر عادة عند تشغيل تطبيقات مشبوهة.

3. تنفيذ سكربتات متعددة المراحل

في بعض الحالات، يؤدي الأمر الذي يتم لصقه في Terminal إلى سلسلة سكربتات متتابعة، مثل:

• أمر curl مخفي يقوم بتنزيل مُحمّل (Loader) مضغوط
• تشغيل المحمّل عبر الصدفة مثل zsh
• تنزيل وتشغيل حمولة خبيثة مكتوبة باستخدام AppleScript

يساعد هذا الأسلوب متعدد الطبقات على إخفاء الهجوم ويجعل اكتشافه أكثر صعوبة بالنسبة لأدوات الحماية.

ما البيانات التي تستهدفها البرمجية؟

تركز SHub Reaper على سرقة المعلومات التي يمكن استغلالها مباشرة أو بيعها في الأسواق السوداء.

ومن بين الأهداف التي تم رصدها:

• كلمات المرور المخزنة في المتصفحات
• أسرار Apple Keychain
• بيانات iCloud والمعلومات المتزامنة
• الملفات والوثائق المحلية
• جلسات المراسلة مثل Telegram
• محافظ العملات الرقمية وتطبيقاتها

وفي بعض الحملات، قد يتم تعديل تطبيقات محافظ العملات الرقمية الأصلية أو استبدالها بنسخ مصابة، ما يسمح للمهاجمين لاحقاً بسرقة عبارات الاسترداد أو الأموال نفسها.

كيف تحافظ البرمجية على وجودها في النظام؟

لضمان استمرارها بعد إعادة تشغيل الجهاز، يمكن أن تقوم SHub Reaper بتثبيت LaunchAgent يتنكر كخدمة شرعية مثل "GoogleUpdate".

في macOS تُستخدم LaunchAgents لتشغيل برامج تلقائياً عند تسجيل الدخول إلى النظام، وهو ما يجعلها طريقة شائعة لبقاء البرمجيات الخبيثة نشطة.

كما تحاول البرمجية تجنب الاكتشاف عبر:

• استخدام AppleScript وعمليات macOS الشرعية
• تقسيم الهجوم إلى عدة مراحل صغيرة
• الاعتماد على أوامر Terminal التي يشغّلها المستخدم بنفسه

هذه الأساليب تجعل اكتشاف البرمجية أصعب بالنسبة لبعض أدوات الحماية التقليدية.

لماذا قد تتجاوز بعض دفاعات macOS؟

يتضمن macOS أنظمة حماية مدمجة مثل Gatekeeper وXProtect التي تفحص التطبيقات والملفات بحثاً عن برمجيات خبيثة معروفة.

لكن في هجمات مثل SHub Reaper يمكن تجاوز هذه الآليات نسبياً لأن:

• المستخدم هو من يشغّل الأمر يدوياً داخل Terminal
• يتم تنزيل الكود الخبيث على مراحل
• بعض المكونات تتنكر كأدوات نظام شرعية

وعندما يبدأ التنفيذ من خلال أمر وافق عليه المستخدم، قد لا تمر العملية عبر جميع آليات التحقق التي تُطبّق عادةً على التطبيقات التي يتم تنزيلها وتشغيلها مباشرة.

كيف يمكن لمستخدمي ماك حماية أنفسهم؟

رغم تعقيد الحملة، إلا أنها تعتمد أساساً على خداع المستخدم، لذلك يمكن لعدة ممارسات بسيطة تقليل الخطر بشكل كبير.

1. لا تنسخ أوامر إلى Terminal من مواقع الويب.
أي موقع يطلب منك لصق أمر لإصلاح مشكلة أو تثبيت برنامج يجب التعامل معه بحذر شديد.

2. ثبّت التحديثات من المصادر الرسمية فقط.
استخدم تحديثات macOS الرسمية أو Mac App Store أو موقع الشركة المطورة مباشرة.

3. حافظ على تحديث النظام والمتصفحات.
تقوم Apple بتحديث أدوات الحماية مثل XProtect وXProtectRemediator باستمرار لمواجهة التهديدات الجديدة.

4. راقب الحسابات الحساسة.
إذا شككت في إصابة الجهاز، غيّر كلمات المرور من جهاز نظيف وافحص محافظ العملات الرقمية والحسابات السحابية.

5. استخدم أدوات حماية موثوقة.
برامج الحماية المتخصصة يمكن أن تكشف النشاطات المشبوهة مثل السكربتات غير المعتادة أو آليات الاستمرارية في النظام.

الاتجاه الأكبر: تزايد برمجيات سرقة بيانات macOS

تعكس SHub Reaper تحولاً واضحاً في عالم الجرائم الإلكترونية. فمع انتشار أجهزة ماك في الشركات والبيئات المهنية، أصبح المهاجمون يطوّرون برمجيات سرقة بيانات مخصصة لنظام macOS بشكل متزايد.

والخلاصة الأهم لمستخدمي ماك هي أن معظم البرمجيات الخبيثة الحديثة لا تخترق الجهاز بالقوة، بل تقنع المستخدم بالسماح لها بالدخول. تجنب الأوامر المشبوهة ومصادر التنزيل غير الموثوقة يبقى خط الدفاع الأول.