نمت حملة ClickFix الموثقة حديثًا بهدوء لتصبح شبكة مترامية تضم أكثر من 250 نطاقًا، بُنيت جميعها لخداع مستخدمي Mac ودفعهم إلى إصابة أجهزتهم بأنفسهم. ما يجعل هذه العملية جديرة بالملاحظة ليس حجمها فحسب، بل أن المهاجمين يستخدمون بصمات المتصفح، وهي تقنية التتبع نفسها التي يعتمد عليها المعلنون وسماسرة البيانات، ليقرروا من تظهر له إغراءات خبيثة ومن يحصل على صفحة غير ضارة.

كيف تخفي حملة ClickFix آثارها

تتبع هجمات ClickFix نمطًا مألوفًا: يعرض موقع مزيف للزائرين رسالة تفيد بوجود خطأ في المتصفح أو النظام، ثم يطلب منهم نسخ أمر ولصقه في تطبيق Terminal «لإصلاحه». هذا الأمر يثبّت فعليًا برمجية خبيثة، وهي في هذه الحالة نسخة مرتبطة بـ AMOS، وهو برنامج خبيث معروف لسرقة المعلومات على macOS صُمم لجمع كلمات المرور المحفوظة وبيانات المتصفح ومعلومات محافظ العملات الرقمية.

ما يميز هذه الحملة هو البصمات من جهة الخادم. فبدلًا من تقديم الإغراء الخبيث لكل زائر، تفحص البنية التحتية للمهاجمين تفاصيل المتصفح الوارد، مثل دقة الشاشة والخطوط المثبتة وسلاسل وكيل المستخدم وإشارات إعدادات خفية أخرى، قبل أن تقرر ما ستعرضه. ماسحات الأمان والزواحف الآلية والباحثون الذين يتقصون هذه النطاقات يحصلون عادةً على صفحة نظيفة لا يُعتد بها. أما مستخدمو Mac الحقيقيون الذين يتصفحون بشكل طبيعي، فهم من يُوجَّهون إلى إغراء ClickFix.

يمثل هذا تطورًا ملموسًا في طريقة إفلات حملات البرمجيات الخبيثة من الاكتشاف. فبدلًا من الاعتماد على تعمية الشيفرة أو النطاقات قصيرة العمر فقط، يستخدم المشغّلون أساليب تعريف سلبية لتصفية جمهورهم قبل أن يبدأ الهجوم أصلًا. ومع وجود أكثر من 250 نطاقًا يُقال إنها مشاركة، تمتلك الحملة قدرًا كافيًا من التكرار بحيث لا يؤدي تعطيل مواقع منفردة إلى إبطائها إجمالًا.

البصمات: أداة بيد المعلنين والمهاجمين معًا

بصمة المتصفح ليست جديدة، وليست خبيثة بطبيعتها. فقد استخدمت مواقع الويب وشبكات الإعلانات أساليب مشابهة منذ سنوات لتعقب المستخدمين عبر الجلسات دون الاعتماد على ملفات تعريف الارتباط. ما تظهره هذه الحملة هو كيف يمكن إعادة توظيف أساليب التنميط السلبية نفسها المستخدمة في التتبع التجاري لتقديم برمجيات خبيثة بشكل انتقائي مع التهرب من الاكتشاف.

وهذا التداخل يستحق التوقف عنده. ففي كل مرة يكشف فيها المتصفح تفاصيل تقنية دقيقة لموقع ويب، تُتاح فرصة لاستخدام تلك البيانات بطرق لم يتوقعها الزائر قط، سواء عبر منصة تبادل إعلانات تبني ملفًا تعريفيًا، أو عبر مشغّل برمجيات خبيثة يقرر من يستحق الهجوم كما في هذه الحالة. القرّاء الراغبون في نظرة أعمق حول كيفية عمل البصمات وآليات التتبع الأخرى، وما يمكن لأدوات الخصوصية المعيارية إيقافه وما لا يمكنها إيقافه، قد يجدون فائدة في مراجعة ما هي شبكة VPN وكيف تعمل، إذ تُعد البصمات إحدى طرق التتبع التي لا تحبطها شبكة VPN وحدها بالكامل.

لماذا هذا مهم خارج نطاق macOS

بينما تستهدف هذه الحملة تحديدًا مستخدمي Mac ببرمجيات سرقة معلومات من نمط AMOS، فإن الأسلوب الأساسي المتمثل في استخدام البصمات لإخفاء المحتوى الخبيث بشكل انتقائي عن الدفاعات الآلية لا يقتصر على منصة بعينها. إنه يعكس توجّهًا أوسع لدى مشغّلي البرمجيات الخبيثة لاستعارة أدوات من عالم تقنيات الإعلان والتحليلات لجعل بنيتهم التحتية أكثر مرونة. لقد ظهر منطق إخفاء مماثل في حملات أخرى أخفت حمولات خبيثة داخل خدمات تبدو مشروعة، مثل تقنية msaRAT التابعة لمجموعة فدية Chaos، التي تخفي اتصالات القيادة والتحكم داخل عمليات متصفح موثوقة. الخيط المشترك هو الإفلات عبر المشروعية: يتخفى المهاجمون على مرأى الجميع بدلًا من الاعتماد على بنية تحتية مشبوهة بشكل واضح.

ما يعنيه هذا لك

إذا كنت تستخدم Mac، فإن الخطر العملي هنا واضح: أي موقع يطلب منك فتح Terminal ولصق أمر «لإصلاح» خطأ، أو للتحقق من أنك بشر، أو لمعالجة مشكلة أمنية مزعومة، ينبغي التعامل معه كعلامة خطر. تحديثات البرامج الشرعية وخطوات استكشاف المشكلات لا تعمل بهذه الطريقة. لا يوجد إصلاح حقيقي أو تحديث متصفح أو تحقيق CAPTCHA يتطلب منك تشغيل أوامر شِلّ يدويًا.

ولأن هذه الحملة تعتمد على البصمات لاستهداف المستخدمين الحقيقيين بشكل انتقائي، فقد لا تلتقطها أدوات المسح الأمني المعيارية دائمًا مبكرًا، مما يزيد العبء على وعي المستخدم. وهذا أيضًا تذكير بأن التتبع القائم على البصمات، من النوع الذي يستخدمه المعلنون والمهاجمون على حد سواء، غير مرئي إلى حد كبير في جلسة المتصفح العادية ما لم تكن تستخدم وسائل حماية خصوصية صُممت لتقليص ما يكشفه جهازك.

خلاصة قابلة للتطبيق

  • لا تلصق أمرًا أبدًا في Terminal أو Run لأن موقعًا إلكترونيًا طلب منك ذلك، بصرف النظر عن مدى رسمية مظهر الصفحة.
  • حافِظ على تحديث macOS ومتصفحك، وكن شكوكًا حيال النوافذ المنبثقة التي تدّعي الحاجة إلى إصلاحات عاجلة.
  • استخدم إعدادات المتصفح أو الإضافات التي تحد من مساحة البصمات، مثل تقييد تعداد الخطوط والوصول إلى عنصر canvas حيثما أمكن.
  • إذا كنت تبحث في كيفية تناسب أدوات التشفير والخصوصية ضمن استراتيجية دفاعية أوسع، فإن فهم تشفير VPN يشكل نقطة انطلاق جيدة، مع التذكير بأن الدفاعات ضد البصمات تتطلب حماية منفصلة على مستوى المتصفح.

تُعد حملة ClickFix هذه دراسة حالة مفيدة حول كيفية تكيف المهاجمين: ليس عبر ابتكار برمجيات خبيثة جديدة، بل عبر استعارة البنية التحتية للتتبع في الويب الحديث لجعل الحيل القديمة أصعب في الاكتشاف. يبقى توخي الحذر تجاه تعليمات «أصلحها بنفسك» غير المطلوبة أبسط وأنجع وسيلة دفاع.