من اختطاف المحافظ إلى التحكم عن بعد: مايكروسوفت تكشف موجة جديدة من برامج الفدية المشفرة تستهدف مستخدمي ويندوز | منشور ميتافيرس

باختصار

كشفت شركة مايكروسوفت عن حملة برمجيات خبيثة لقطّاع العملات المشفرة تستخدم بنية تحتية تعتمد على تور لسرقة بيانات المحافظ، واحتجاز المعاملات، والحفاظ على الوصول عن بُعد.

أعلنت شركة التكنولوجيا مايكروسوفت عن اكتشاف حملة برمجيات خبيثة لقطّاع العملات المشفرة تعتمد على نظام ويندوز، تستهدف المستخدمين منذ فبراير 2026. يدمج التهديد، الذي حددته شركة مايكروسوفت للمعلومات الاستخباراتية الأمنية وخبراء مايكروسوفت ديفندر، بين سرقة الحافظة، واستهداف محافظ العملات المشفرة، وقدرات الوصول عن بُعد لسرقة الأصول الرقمية والحفاظ على السيطرة على الأنظمة المخترقة.

تم تصميم البرمجية الخبيثة لاعتراض المعلومات الحساسة المتعلقة بالعملات المشفرة، بما في ذلك عناوين المحافظ، وعبارات البذور، والمفاتيح الخاصة. قالت مايكروسوفت إن التهديد ينتشر بشكل رئيسي من خلال ملفات الاختصار الخبيثة (.lnk) التي تُوزع عبر وحدات USB القابلة للإزالة. بمجرد تفعيلها، تنشر البرمجية مكونات إضافية تتيح الاستمرارية، وجمع البيانات، والتواصل مع البنية التحتية التي يتحكم فيها المهاجمون.

على عكس الحملات التقليدية التي تعتمد على خوادم أوامر وتحكم مرئية، تستخدم هذه الحملة وكيل تور مدمج لإخفاء النشاط الشبكي. تطلق البرمجية عميل تور محمول عبر مضيف السكربتات في ويندوز وسكريبتات تعتمد على ActiveX، وتوجه الاتصالات عبر وكيل SOCKS5 محلي قبل الاتصال بخوادم الخدمة المخفية. يقلل هذا النهج من الرؤية ويسمح للمهاجمين بالحفاظ على وصول مجهول إلى الأجهزة المصابة.

تجمع الهجمة بين وظيفتين رئيسيتين: مكون الانتشار الذي ينتشر عبر الملفات المصابة والوسائط القابلة للإزالة، ومكون القطّاع-السارق الذي يركز على سرقة العملات المشفرة. يمكن للبرمجية إنشاء اختصارات خبيثة تظهر وكأنها تشير إلى مستندات شرعية، مما يدفع المستخدمين إلى تنفيذ رمز ضار دون علمهم. كما تنشئ مهام مجدولة للحفاظ على الاستمرارية والاستمرار في العمل بعد إعادة تشغيل النظام.

جيل جديد من بنية تحتية لسرقة العملات المشفرة

تُظهر البرمجية الخبيثة تحولًا نحو تهديدات خفيفة تعتمد على السكربتات تجمع بين السرقة المالية وقدرات الباب الخلفي الأوسع. بعد الإصابة، تراقب البرمجية نشاط الحافظة باستمرار، وتبحث عن بيانات مرتبطة بالعملات المشفرة. عندما ينسخ المستخدمون عناوين المحافظ، يمكن للبرمجية استبدالها بعناوين يتحكم فيها المهاجم، مما يعيد توجيه المعاملات دون أن يلاحظ الضحية على الفور.

كما تبحث التهديدات عن المفاتيح الخاصة المرتبطة ببيتكوين وإيثريوم وعبارات البذور BIP39، التي تُستخدم عادة لاستعادة محافظ العملات المشفرة. يتم إرسال المعلومات التي تم التقاطها إلى المهاجمين عبر قنوات تعتمد على تور، بينما تُجمع لقطات الشاشة لتوفير سياق إضافي حول نشاط المحافظ ورصيد الحسابات.

سلطت مايكروسوفت الضوء على أن البرمجية تتضمن قدرات تنفيذ أوامر عن بُعد، مما يسمح للمهاجمين بإرسال تعليمات وتنفيذ رموز إضافية على الأنظمة المصابة. يوسع هذا التهديد من مجرد أداة لسرقة العملات المشفرة إلى أداة مرنة تدعم أنشطة خبيثة إضافية.

لاحظ الباحثون الأمنيون أن الحملة تعتمد بشكل كبير على مؤشرات سلوكية بدلاً من الكشف التقليدي القائم على الملفات. تشمل الأنشطة المشبوهة تشغيل محركات السكربتات لعمليات غير متوقعة، وتلاعب بعناوين العملات المشفرة، والتقاط الشاشة باستخدام PowerShell، واتصالات غير معتادة عبر وكيل تور من خلال منفذ localhost 9050.

تكتشف مضادات الفيروسات من مايكروسوفت ديفندر مكونات مرتبطة من عائلة البرمجيات الخبيثة تحت تسمية Trojan:Win32/CryptoBandits.A، بينما يوفر مايكروسوفت ديفندر للنهج النهائي اكتشافات سلوكية إضافية لنشاط السكربتات المشبوه، ومحاولات تسريب البيانات، وتنفيذ العمليات غير الطبيعية.

نصحت مايكروسوفت المؤسسات بتعزيز الدفاعات ضد تهديدات الوسائط القابلة للإزالة، وتقييد تنفيذ السكربتات غير الضرورية، ومراقبة نشاط الوكيل المشبوه، وتطبيق ضوابط أمنية ضد السكربتات المشفرة. كما أوصت بمراجعة سلوك مراقبة الحافظة والتحقيق في الأنظمة التي تتفاعل فيها أدوات السكربت مع أدوات التواصل الشبكي.

تسلط الاكتشافات الضوء على تطور برمجيات التهديد الموجهة للعملات المشفرة، حيث يدمج المهاجمون بشكل متزايد تقنيات سرقة المحافظ الآلية، وأنظمة الاتصال المجهولة، وآليات الوصول المستمر. مع استمرار تكامل الأصول الرقمية في النشاط المالي، من المتوقع أن تضع فرق الأمان مزيدًا من التركيز على حماية بيانات اعتماد المحافظ ومراقبة السلوكيات المرتبطة بتهديدات استهداف العملات المشفرة.