شبكة ضخمة للدفع مقابل التثبيت تختبئ على مرأى من الجميع

كشف باحثو الأمن السيبراني عن عملية واسعة النطاق للدفع مقابل التثبيت (PPI) مسؤولة عن توزيع أكثر من 10,000 محمّل برامج ضارة متميز. اعتمدت الحملة على أسلوبين مألوفين لكنهما فعّالان باستمرار: قنوات الألعاب على يوتيوب المستخدمة للترويج للبرامج المقرصنة والغش، ونتائج البحث المسمومة بتقنيات تحسين محركات البحث (SEO) المصممة لدفع صفحات التنزيل الضارة فوق الصفحات الشرعية. معًا، سمحت هذه الأساليب للمشغّلين بتوجيه تيار ثابت من الضحايا نحو برامج التثبيت المصابة على نطاق واسع.

تعمل مخططات الدفع مقابل التثبيت مثل نموذج التسويق بالعمولة للمجرمين الإلكترونيين. يحصل الموزّعون على أموال بناءً على عدد الأجهزة التي ينجحون في إصابتها، وغالبًا ما يتم تحديد حمولة البرامج الضارة الفعلية لاحقًا من قبل من يشتري الوصول. يفسّر هذا الهيكل كيف يمكن لهذه العملية إنتاج هذا الحجم الكبير من المحمّلات الفريدة. كل واحد منها عبارة عن غلاف معدّل قليلاً مصمم للتسلل عبر توقيعات مكافحة الفيروسات مع الاتصال في النهاية بالبنية التحتية التي تقرر ما سيتم تثبيته بعد ذلك: برامج سرقة المعلومات، أو أحصنة طروادة للوصول عن بُعد، أو برامج تعدين العملات المشفرة، أو برامج ضارة أخرى حسب المشتري.

لماذا يُعد يوتيوب ونتائج البحث أهدافًا رئيسية

محتوى الألعاب هو طُعم جذاب بشكل خاص. تتضمن الفيديوهات التي تعلن عن نسخ "مجانية" من الألعاب المدفوعة، أو أدوات الغش، أو كسور البرامج روابط في الوصف تشير إلى مواقع استضافة الملفات أو بوابات تنزيل مزيفة. يكون المشاهدون الذين يبحثون عن اختصار مستعدين للنقر دون تدقيق كبير، خاصة عندما تكون القناة لديها عدد كبير من المشتركين أو قيمة إنتاجية مقنعة.

يعمل تسميم تحسين محركات البحث بطريقة مماثلة ولكن عبر محركات البحث بدلاً من منصات الفيديو. يبني المهاجمون مواقع ويب أو يخترقونها ويحشونها بكلمات مفتاحية مرتبطة بأسماء البرامج الشائعة، أو تحديثات التعريفات، أو أدوات الإنتاجية. عندما تحصل على ترتيب جيد بما فيه الكفاية، تظهر هذه الصفحات بجانب مصادر التنزيل الرسمية أو حتى فوقها، مما يخدع المستخدمين الذين يفترضون أن نتيجة البحث الأولى جديرة بالثقة تلقائيًا. ظهرت هذه التقنية أيضًا في عمليات احتيال واسعة النطاق أخرى. تُظهر حملة ذات صلة مفصّلة في تقريرنا حول 11,000 موقع حكومي مزيف يستهدف المواطنين حول العالم كيف يستخدم المهاجمون الحجم الهائل والعلامات التجارية المقنعة للتغلب على قدرة الضحية على التمييز بين الحقيقي والمزيف، سواء كان الهدف بوابة حكومية أو صفحة تنزيل برامج.

ما يجعل عملية الدفع مقابل التثبيت هذه جديرة بالملاحظة هو الحجم وليس الجِدة. يُعد توزيع البرامج الضارة القائم على المحمّلات وتسميم تحسين محركات البحث تقنيات راسخة، لكن إنتاج أكثر من 10,000 نسخة محمّل فريدة يشير إلى خط إنتاج آلي للغاية مبني خصيصًا للتهرب من أدوات الكشف التي تعتمد على توقيعات البرامج الضارة المعروفة.

التكلفة الحقيقية لتنزيل "مجاني"

من السهل استبعاد البرامج المقرصنة وأدوات الغش كخطر محدود، لكن جمهور التنزيلات المتعلقة بالألعاب هائل، وهذا بالضبط سبب اختياره كقناة توزيع. بمجرد تنفيذ المحمّل، غالبًا ما تكون البرامج الضارة المثبّتة فورًا مجرد البداية. نظرًا لأن شبكات الدفع مقابل التثبيت لا تتقيد بنوع معين من الحمولات، يمكن إعادة استخدام جهاز مصاب بعد أسابيع أو أشهر لهجوم من نوع مختلف تمامًا، بما في ذلك سرقة بيانات الاعتماد، أو تجهيز برامج الفدية، أو التجنيد في شبكة روبوتات.

يتفاقم هذا بسبب حقيقة أن العديد من هذه الأدوات تتطلب تعطيل الحماية من الفيروسات أو التشغيل بصلاحيات مرتفعة لكي "تعمل"، وهذا بحد ذاته علامة تحذيرية كبيرة على أن الملف الذي تم تنزيله ليس ما يدّعي أنه عليه.

ماذا يعني هذا بالنسبة لك

إذا كنت تنزّل بانتظام تعديلات الألعاب، أو البرامج المقرصنة، أو محركات الغش، أو نسخ "مجانية" من التطبيقات المدفوعة، فإن هذه الحملة تذكير مباشر بأن الخطر ليس افتراضيًا. ترتيب البحث وشعبية الفيديو ليسا مؤشرين موثوقين على الأمان. يمكن أن تكون قناة لديها آلاف المشتركين أو موقع ويب يقع بالقرب من أعلى نتائج البحث جزءًا من خط توزيع برامج ضارة، خاصة عندما يَعِد المحتوى بشيء يكلف عادةً المال.

النهج الأكثر أمانًا هو التعامل مع أي تنزيل برامج خارج متجر تطبيقات رسمي، أو موقع مطوّر، أو منصة موثّقة على أنه مشبوه بشكل افتراضي. قبل تثبيت أي شيء، تحقق من عنوان URL المصدر بعناية، وابحث عن علامات تجارية غير متطابقة أو امتدادات ملفات غير عادية، وكن حذرًا من برامج التثبيت التي تطلب منك تعطيل برامج الأمان كشرط مسبق.

النقاط العملية الرئيسية

  • نزّل البرامج فقط من مواقع البائعين الرسمية أو المنصات الراسخة مثل Steam، أو متاجر التطبيقات الرسمية، أو صفحات المطورين الموثّقة.
  • تجنّب برامج التثبيت المُروَّج لها عبر أوصاف الفيديو، أو أقسام التعليقات، أو نتائج البحث التي تَعِد ببرامج مقرصنة أو منسوخة.
  • أبقِ مكافحة الفيروسات وحماية نقاط النهاية نشطة في جميع الأوقات؛ لا تعطّلها أبدًا "لتشغيل برنامج".
  • استخدم VPN موثوقًا إلى جانب أدوات الأمان للحد من التعرض على الشبكات العامة، مع العلم أن VPN وحده لن يمنعك من تثبيت برامج ضارة تنزّلها طوعًا.
  • حدّث متصفحك ونظام التشغيل بانتظام لتقليل احتمال استغلال صفحة ضارة لثغرات غير مصححة.
  • إذا كنت قد ثبّتت مؤخرًا برامج مقرصنة أو أدوات غش، فشغّل فحصًا كاملاً للنظام وراقب أي نشاط غير عادي على الحساب كإجراء احترازي.

تُظهر حملات مثل هذه أن توزيع البرامج الضارة بالدفع مقابل التثبيت لا يزال نموذج عمل مستدامًا تحديدًا لأنه يستغل سلوك المستهلك العادي بدلاً من الثغرات التقنية المتطورة. يظل التشكك في التنزيلات "المجانية"، والتحقق من المصادر قبل تثبيت أي شيء، وإبقاء أدوات الأمان نشطة، أكثر وسائل الدفاع فعالية المتاحة للمستخدمين العاديين.