حملة خبيثة متطورة تستخدم مواقع مزيفة لأدوات مثل Ghidra لاختراق الباحثين والمطورين

نظام توزيع المرور المحصن: تصفية للوصول إلى أهداف عالية القيمة

يعمل نظام TDS كحارس بوابة متطور، وليس مجرد موجه بسيط. يكشف تحليل Check Point أنه يطبق تصفية مضادة للتحليل ومتعددة الطبقات لفصل الضحايا الحقيقيين عن الباحثين الأمنيين وبيئات الاختبار المعزولة (sandboxes) وبرامج الزحف الآلية. فقط المستخدمون الذين يجتازون هذه الفحوصات يتم توجيههم إلى الحمولات الخبيثة النهائية. هذا التسليم الانتقائي يجعل رسم خريطة الحملة أكثر صعوبة ويزيد من قيمة كل إصابة ناجحة للمشغلين. لمزيد من التهرب من الكشف، يستخدم النظام تقنيات مثل مفاتيح لكل جلسة وإصدار مفاتيح تستخدم لمرة واحدة.

ثلاثي البرمجيات الخبيثة: RemusStealer و AnimateClipper و SessionGate

تم رصد الحملة وهي توزع ثلاث عائلات برمجيات خبيثة متميزة، كل منها يخدم غرضاً مختلفاً لتحقيق الدخل:

• RemusStealer: هذه أداة اشتراك لسرقة المعلومات تُقدم كخدمة (MaaS)، تُسوق بسعر يتراوح بين 250 و 500 دولار. تستهدف مجموعة واسعة من البيانات الحساسة، بما في ذلك بيانات الاعتماد من أكثر من 20 متصفحاً، وبيانات من أكثر من 220 امتداداً لمحافظ العملات الرقمية، إضافة إلى مديري كلمات المرور وأدوات المصادقة الثنائية.
• AnimateClipper: أداة قص (Clipper) للعملات الرقمية مصممة لاختطاف المعاملات في الوقت الفعلي عن طريق استبدال عنوان المحفظة الذي ينسخه المستخدم بعنوان يسيطر عليه المهاجم. وهي قادرة على مراقبة واعتراض المعاملات عبر أكثر من 20 منظومة بلوكتشين مختلفة.
• SessionGate: هذا إطار عمل غير موثق سابقاً وهو محمل متعدد المراحل يستخدم تشويشاً كثيفاً وتقنيات واسعة مضادة للتحليل لتوصيل تطبيقات غير مرغوب فيها (PUAs) أو حمولات أخرى. يعمل كنقطة ارتكاز أولية ومحمل في سلاسل الهجوم المرصودة.

عملية عالمية ومستمرة منذ فترة طويلة

حجم الحملة كبير. أفادت Check Point بأن هذا النظام البيئي نشط منذ أواخر عام 2025 وقد ولّد أكثر من 5000 عينة محملة على منصة VirusTotal، مما يشير إلى قاعدة ضحايا واسعة. تمتد الأهداف الجغرافية الرئيسية عبر أنحاء العالم، مع نشاط كثيف يتركز في تركيا وبولندا والبرازيل وألمانيا وفرنسا وروسيا والمملكة المتحدة.

بالنسبة للمطورين ومحترفي الأمن السيبراني، العبرة واضحة وعاجلة. لقد ولت أيام تحميل أداة بناءً على نتيجة بحث بشكل عرضي. يجب على المستخدمين التحقق من أنهم على مستودع مشروع رسمي، وزيارة صفحة GitHub أو GitLab المعروفة مباشرة، والحذر من أي تحميل لا يسلم الملف المتوقع على الفور. الاحترافية العالية لهذه المواقع المزيفة تجعل الفحص البصري وحده دفاعاً غير كافٍ ضد نظام بيئي مبني على الثقة المسروقة والخداع الآلي.