هجوم على سلسلة التوريد لأداة مراجعات Okendo: كيف اخترق SmartApeSG أكثر من 18,000 موقع تجارة إلكترونية

في 14 مايو 2026، تمكن فريق Zscaler ThreatLabz من تحديد هجوم إلكتروني يستهدف سلسلة التوريد، حيث قام المخترق SmartApeSG (المعروف أيضًا باسم ZPHP و HANEYMANEY) بحقن كود JavaScript ضار في أداة مراجعات Okendo الأصلية . Okendo هي منصة لمراجعات العملاء يستخدمها أكثر من 18,000 علامة تجارية على واجهات المتاجر الإلكترونية وصفحات المنتجات ونماذج المراجعة في جميع أنحاء العالم . أدى هذا الاختراق إلى تعريض ملايين المتسوقين عبر الإنترنت للبرامج الضارة، وسجلت منصة Zscaler السحابية ما يقرب من 15,000 عملية حظر مرتبطة بنشاط SmartApeSG في يوم واحد .

الآلية التقنية للكود الضار

عمل الكود المحقون كـ محمل متعدد المراحل مع طبقات متعددة من التخفي والاستهداف . بدلاً من إسقاط البرامج الضارة فورًا، أجرى أولاً فحوصات بيئية لتجنب الكشف وضمان أن الضحية هدف مناسب:

• تتبع التخزين المحلي (localStorage) — في الزيارة الأولى، قام الكود بتعيين علامة زمنية في التخزين المحلي للمتصفح. منع هذا التنفيذ المتكرر لنفس المستخدم، مما قلل من الضوضاء وخفض فرصة إطلاق التنبيهات الأمنية أثناء الاختبارات الروتينية .
• تصفية وكيل المستخدم (استبعاد الأجهزة المحمولة) — فحص الكود سلسلة وكيل المستخدم (User-Agent) للزائر لتجاهل متصفحات الهواتف المحمولة واستهداف بيئات سطح المكتب فقط. اعتمدت مراحل العدوى اللاحقة على تفاعلات خاصة بنظام ويندوز، لذلك تم تجاوز ضحايا الهواتف المحمولة تمامًا .
• إخفاء XOR — أعاد المحمل بناء عنوان خادم القيادة والتحكم (C2) الخاص بالمرحلة التالية ديناميكيًا عن طريق فك تشفير أجزاء السلاسل النصية المخفاة بـ XOR في وقت التشغيل، متجاوزًا بذلك أنظمة الكشف الأساسية القائمة على التوقيعات .

خداع الهندسة الاجتماعية ClickFix

ClickFix هي تقنية هندسة اجتماعية حيث ينسخ كود ضار أمرًا إلى حافظة المستخدم، ثم يعرض تعليمات تطلب منه لصقه وتنفيذه - عادةً عن طريق الضغط على Win + R، ثم اللصق والضغط على Enter. يتم تمويه الأمر كخطوة تحقق. في هذا الهجوم، تم تضمين خداع ClickFix في صفحة CAPTCHA مزيفة تم إنشاؤها بواسطة الأداة المخترقة . إذا اتبع المستخدم التعليمات، فإن الأمر الملصق يؤدي إلى تشغيل سكريبت PowerShell أو ملف تطبيق HTML (HTA)، والذي يقوم بعد ذلك بتنزيل وتثبيت البرامج الضارة .

تسليم الحمولات: برامج الوصول عن بُعد وسارقي المعلومات

بمجرد تنفيذ خداع ClickFix، قامت سلسلة العدوى بتسليم واحد أو أكثر من الحمولات التالية :

• NetSupport RAT — حصان طروادة للوصول عن بُعد يمنح المخترقين سيطرة عن بُعد مستمرة على الجهاز المصاب.
• Remcos RAT — حصان طروادة للوصول عن بُعد مع قدرات تسجيل ضغطات المفاتيح والمراقبة وسرقة بيانات الاعتماد.
• StealC — سارق معلومات يستهدف كلمات المرور وبيانات الاعتماد المالية.
• Sectop RAT — حصان طروادة للوصول عن بُعد يستخدم في التجسس.
• DeerStealer — سارق معلومات تم رصده في متغيرات ClickFix السابقة لـ SmartApeSG .

حجم الاختراق

• أكثر من 18,000 علامة تجارية للتجارة الإلكترونية استخدمت أداة Okendo المخترقة، مما عرض سطح هجوم هائل للخطر .
• تراوحت المواقع المتضررة من متاجر متوسطة الحجم عبر الإنترنت إلى علامات تجارية أمريكية كبيرة للبيع بالتجزئة، مع تقديرات زيارات تصل إلى 150,000 إلى عدة ملايين زائر شهريًا لكل موقع. إحدى العلامات التجارية الأمريكية المتضررة تستقطب حوالي 7 ملايين زائر شهريًا .
• في 14 مايو 2026 وحده، سجلت منصة Zscaler السحابية ما يقرب من 15,000 عملية حظر مرتبطة بنشاط SmartApeSG، وهو أعلى حجم يومي تم رصده على الإطلاق لهذا المخترق .

تاريخ SmartApeSG السابق مع البرامج الضارة

SmartApeSG ليس جهة فاعلة جديدة. لدى المجموعة تاريخ موثق في شن حملات بأسلوب ClickFix منذ منتصف عام 2024، حيث قامت بتسليم NetSupport RAT و Remcos RAT و StealC و Sectop RAT عبر عمليات سابقة متعددة . استخدمت الحملات السابقة مواقع ويب مخترقة مع صفحات CAPTCHA مزيفة لخداع المستخدمين لنسخ ولصق أوامر ضارة من خلال مربع الحوار Run في ويندوز . كما تم رصد المجموعة وهي تنشر سارق المعلومات DeerStealer في متغيرات ClickFix السابقة . يمثل هجوم Okendo تصعيدًا: فبدلاً من إصابة مواقع ويب فردية، قامت SmartApeSG باختراق أداة طرف ثالث مستخدمة على نطاق واسع للوصول إلى آلاف المواقع في وقت واحد، وهو مُضخم كلاسيكي لسلسلة التوريد .

خطوات الإصلاح المتخذة

• أبلغ فريق Zscaler ThreatLabz عن الحادثة مباشرة إلى Okendo في 14 مايو 2026 .
• أكدت Okendo علمها بالحادث وأعادت الأداة المتضررة إلى حالتها النظيفة، مما أدى إلى إزالة الكود الضار من التداول .
• نشرت Zscaler توقيعات الكشف تحت اسم التهديد JS.Injection.SmartApeSG لتتبع ومنع نشاط الحقن .
• تتضمن مؤشرات الاختراق (IoCs) التي نشرها الباحثون عنوان URL للأداة المخترقة (

  hxxp://cdn-static[.]okendo[.]io/reviews-widget-plus/js/okendo-reviews[.]js

  ) ونطاقات البنية التحتية لـ C2 الخاصة بـ SmartApeSG مثل و .