تفاصيل حملة CryptoBandits الرئيسية

• آلية اختطاف الحافظة: تعمل البرمجية كحمولة نصية عبر WScript وActiveXObject . تراقب الحافظة كل 500 مللي ثانية تقريبًا، وتستبدل عناوين المحافظ المنسوخة (مثل بيتكوين، إيثريوم، ترون، مونيرو وغيرها) بعناوين يتحكم بها المهاجم . كما تستخرج عبارات الاسترداد والمفاتيح الخاصة التي تطابق أنماط المحافظ .

• التخفي عبر شبكة تور: تُشغّل البرمجية نسخة مُعاد تسميتها من متصفح تور (ugate.exe) في نافذة مخفية، وتنتظر حوالي 60 ثانية لبدء تشغيل تور، ثم تنشئ معرفًا فريدًا للجهاز المُخترَق وتُسجّله مع خادم تحكم مخفي (Hidden Service C2) . يتم الاتصال عبر بروكسي SOCKS5 المحلي على localhost:9050، مما يُجنّب اكتشاف البنية التحتية التقليدية القائمة على IP .

• الانتشار عبر USB: يبدأ العدوى الأولية عبر ملفات اختصار ضارة .lnk تُوزَّع عبر أجهزة تخزين USB . يحتوي ملف .lnk على مكون دودي يتحقق من وجود عدوى سابقة، وفي حال عدم وجودها، يُحمّل الحمولة من خادم التحكم عبر تور . تسمح هذه الآلية بانتشار البرمجية بين الأجهزة المعزولة عن الشبكة عند نقل ذاكرة USB مُصابة بين الأجهزة .

• قدرات إضافية: تستطيع البرمجية رفع لقطات شاشة عبر تور، وتنفيذ أي كود يوفّره المهاجم في وقت التشغيل إذا أعاد خادم التحكم استجابة من نوع EVAL .

توصيات الكشف من خبراء Microsoft Defender

يوصي خبراء Microsoft Defender بالإجراءات التالية للوقاية والاستقصاء :

• تعطيل التشغيل التلقائي (AutoRun/AutoPlay) لجميع الوسائط القابلة للإزالة .
• منع تشغيل ملفات .lnk من الأقراص القابلة للإزالة عبر سياسات المجموعة (Group Policy) .
• تقييد الاستخدام غير الضروري لملفات wscript.exe و cscript.exe .
• تفعيل قواعد تقليل سطح الهجوم (Attack Surface Reduction) التي تستهدف تشغيل النصوص المُشوَّهة وسلوك العمليات الفرعية المشبوه .
• التحقيق في سلاسل الاتصال من النص إلى الشبكة التي تشمل curl أو PowerShell أو cmd.exe .
• الاستقصاء عن نشاط بروكسي SOCKS5 المحلي على localhost:9050 .
• مراجعة سلوكيات الحافظة والتقاط الشاشة على الأجهزة التي تتعامل مع سير عمل مالي حساس .

السياق الأوسع: ارتفاع نشاط برمجيات Clipper في 2026

تندرج حملة CryptoBandits ضمن مجموعة أوسع من الأنشطة المُبلَّغ عنها لبرمجيات clipper واختطاف الحافظة . تشمل الحملات البارزة الأخرى في هذه الفترة:

• CountLoader: حملة متعددة المراحل تستخدم JavaScript وPowerShell وShellcode لتوزيع حمولة clipper .
• برمجيات clipper بلغة Rust: تُوزَّع عبر صفحات تصيد، GitHub وSourceForge ومحتوى يوتيوب مُتلاعَب به .
• برمجيات clipper بلغة Python: تُوزَّع عبر Discord تحت اسم Pro.exe / peeek.exe .
• برمجيات clipper لنظام لينكس: مثل "ClipXDaemon"، وهو مختطف حافظة X11 مستقل تم اكتشافه في فبراير 2026 .

تُظهر هذه التقارير مجتمعة أن نشاط برمجيات clipper يمتد ليشمل حمولات ويندوز النصية، بنية تحتية عبر تور، انتشار عبر USB، توزيع عبر منصات التواصل، واختطاف حافظة على نظام لينكس .

تفاصيل حملة CryptoBandits الرئيسية

• آلية اختطاف الحافظة: تعمل البرمجية كحمولة نصية عبر WScript وActiveXObject . تراقب الحافظة كل 500 مللي ثانية تقريبًا، وتستبدل عناوين المحافظ المنسوخة (مثل بيتكوين، إيثريوم، ترون، مونيرو وغيرها) بعناوين يتحكم بها المهاجم . كما تستخرج عبارات الاسترداد والمفاتيح الخاصة التي تطابق أنماط المحافظ .

• التخفي عبر شبكة تور: تُشغّل البرمجية نسخة مُعاد تسميتها من متصفح تور (ugate.exe) في نافذة مخفية، وتنتظر حوالي 60 ثانية لبدء تشغيل تور، ثم تنشئ معرفًا فريدًا للجهاز المُخترَق وتُسجّله مع خادم تحكم مخفي (Hidden Service C2) . يتم الاتصال عبر بروكسي SOCKS5 المحلي على localhost:9050، مما يُجنّب اكتشاف البنية التحتية التقليدية القائمة على IP .

• الانتشار عبر USB: يبدأ العدوى الأولية عبر ملفات اختصار ضارة .lnk تُوزَّع عبر أجهزة تخزين USB . يحتوي ملف .lnk على مكون دودي يتحقق من وجود عدوى سابقة، وفي حال عدم وجودها، يُحمّل الحمولة من خادم التحكم عبر تور . تسمح هذه الآلية بانتشار البرمجية بين الأجهزة المعزولة عن الشبكة عند نقل ذاكرة USB مُصابة بين الأجهزة .

• قدرات إضافية: تستطيع البرمجية رفع لقطات شاشة عبر تور، وتنفيذ أي كود يوفّره المهاجم في وقت التشغيل إذا أعاد خادم التحكم استجابة من نوع EVAL .

توصيات الكشف من خبراء Microsoft Defender

يوصي خبراء Microsoft Defender بالإجراءات التالية للوقاية والاستقصاء :

• تعطيل التشغيل التلقائي (AutoRun/AutoPlay) لجميع الوسائط القابلة للإزالة .
• منع تشغيل ملفات .lnk من الأقراص القابلة للإزالة عبر سياسات المجموعة (Group Policy) .
• تقييد الاستخدام غير الضروري لملفات wscript.exe و cscript.exe .
• تفعيل قواعد تقليل سطح الهجوم (Attack Surface Reduction) التي تستهدف تشغيل النصوص المُشوَّهة وسلوك العمليات الفرعية المشبوه .
• التحقيق في سلاسل الاتصال من النص إلى الشبكة التي تشمل curl أو PowerShell أو cmd.exe .
• الاستقصاء عن نشاط بروكسي SOCKS5 المحلي على localhost:9050 .
• مراجعة سلوكيات الحافظة والتقاط الشاشة على الأجهزة التي تتعامل مع سير عمل مالي حساس .

السياق الأوسع: ارتفاع نشاط برمجيات Clipper في 2026

تندرج حملة CryptoBandits ضمن مجموعة أوسع من الأنشطة المُبلَّغ عنها لبرمجيات clipper واختطاف الحافظة . تشمل الحملات البارزة الأخرى في هذه الفترة:

• CountLoader: حملة متعددة المراحل تستخدم JavaScript وPowerShell وShellcode لتوزيع حمولة clipper .
• برمجيات clipper بلغة Rust: تُوزَّع عبر صفحات تصيد، GitHub وSourceForge ومحتوى يوتيوب مُتلاعَب به .
• برمجيات clipper بلغة Python: تُوزَّع عبر Discord تحت اسم Pro.exe / peeek.exe .
• برمجيات clipper لنظام لينكس: مثل "ClipXDaemon"، وهو مختطف حافظة X11 مستقل تم اكتشافه في فبراير 2026 .

تُظهر هذه التقارير مجتمعة أن نشاط برمجيات clipper يمتد ليشمل حمولات ويندوز النصية، بنية تحتية عبر تور، انتشار عبر USB، توزيع عبر منصات التواصل، واختطاف حافظة على نظام لينكس .