فيروس الفدية Chaos يجد مخبأً جديداً: متصفح الويب لديك

اكتشف باحثو الأمن في Cisco Talos تطوراً جديداً في طريقة عمل عصابة فيروس الفدية Chaos. فبدلاً من التواصل مع خوادم القيادة والتحكم (C2) مباشرة، تقوم الأداة الجديدة التي طورتها العصابة، وتُدعى msaRAT، بالاستيلاء بهدوء على متصفح Chrome أو Edge على الجهاز المصاب، وتستخدم المتصفح نفسه كوسيط للتواصل. ولأن حركة البيانات تبدو كنشاط تصفح عادي، فإن معظمها يمر دون أن تلاحظه أدوات مكافحة الفيروسات وأنظمة مراقبة الشبكات، والتي صُممت للتنبيه عند وجود عمليات مشبوهة قائمة بذاتها، وليس المتصفح الذي تستخدمه يومياً.

يُوصف هذا الأسلوب أحياناً بـ "التخفي داخل المتصفح"، وهو تطوير لتكتيك "التخفي داخل البيئة" المعروف، حيث يعيد المهاجمون توظيف برامج شرعية مثبتة مسبقاً على النظام بدلاً من إسقاط ملفات ضارة واضحة. في هذه الحالة، طوّر مشغّلو فيروس الفدية هذه الفكرة خطوة إضافية عبر تحويل تطبيق موثوق ومُستثنى غالباً من الفحص إلى قناة اتصال سرية خاصة بهم. تغطيتنا السابقة حول كيف تخفي أداة msaRAT التابعة لفيروس الفدية Chaos حركة مرور C2 داخل المتصفحات تشرح الآليات التقنية بتفصيل أكبر، لكن النسخة المختصرة بسيطة: البرمجية الخبيثة لا تتحدث إلى المتحكمين بها مباشرة، بل تجعل المتصفح يقوم بذلك نيابة عنها.

كيف تتلاعب msaRAT بمتصفحي Chrome و Edge

وفقاً للباحثين، فإن msaRAT هي حصان طروادة للوصول عن بُعد مكتوب بلغة Rust، يصل إلى أجهزة الضحايا عبر أساليب توصيل خادعة، بما في ذلك برامج تثبيت مُقنّعة على أنها تحديثات روتينية لنظام Windows. بمجرد تثبيتها، تقوم بتشغيل Chrome أو Edge في وضع مخفي وبدون واجهة رسومية (headless)، بحيث لا يرى الضحية أي نافذة متصفح مفتوحة. ومن هناك، تستخدم بروتوكول Chrome DevTools Protocol (CDP)، وهي ميزة شرعية مدمجة في هذه المتصفحات لأغراض المطورين وأدوات الأتمتة، لتوجيه سلوك المتصفح عن بُعد كالدمية.

ثم تقوم البرمجية الخبيثة بتوجيه حركة القيادة والتحكم الخاصة بها عبر اتصالات WebRTC وخدمات مثل مرحّل TURN من Twilio، وكلاهما تقنيتان شرعيتان تُستخدمان للاتصال الفوري ومكالمات الفيديو. ولأن هذه الحركة مشفرة وتمر عبر بنية تحتية تستخدمها تطبيقات شرعية لا تُحصى، فإنها تندمج مع نشاط الويب الطبيعي. أدوات الأمن التي تفحص حركة الشبكة بحثاً عن بصمات برمجيات خبيثة معروفة أو خوادم وجهة غير اعتيادية تجد صعوبة أكبر بكثير في تمييز هذا النشاط عن الاستخدام اليومي للمتصفح، وهذا هو الهدف تحديداً.

الأثر العملي هو أن الجهاز المصاب يمكنه الحفاظ على قناة اتصال مستمرة ويتم التحكم فيها عن بُعد لسرقة البيانات وزيادة الاختراق، كل ذلك بينما لا ترى برمجيات الأمن شيئاً أكثر إثارة للقلق من Chrome أو Edge وهما يقومان بعملهما الطبيعي. هذا تطور مهم لعصابات فيروسات الفدية، التي اعتمدت تقليدياً على أساليب أكثر قابلية للاكتشاف للحفاظ على الوصول عن بُعد.

لماذا تتعثر الدفاعات التقليدية هنا

صُممت معظم أدوات مكافحة الفيروسات واكتشاف نقاط النهاية لتحديد الملفات التنفيذية الخبيثة، أو سلوك العمليات غير الاعتيادي، أو الاتصالات بعناوين IP معروفة بأنها خبيثة. تتجنب msaRAT جميع هذه النقاط. العملية التي تقود النشاط الخبيث هي المتصفح نفسه، وهو برنامج موجود على كل جهاز تقريباً وموثوق افتراضياً. البنية التحتية للوجهة، مثل خدمة مرحّل TURN من Twilio، شرعية ومستخدمة على نطاق واسع، لذا فإن حظرها بالكامل سيؤدي إلى تعطيل تطبيقات أخرى يعتمد عليها الناس. ولأن المتصفح يعمل بدون واجهة مرئية، فلا توجد نافذة مرئية أو علامة واضحة للمستخدم على أن شيئاً غير اعتيادي يحدث.

لهذا السبب تحديداً، يشدد الباحثون الأمنيون على الكشف القائم على السلوك وعلى مستوى الشبكة بدلاً من الاعتماد على مكافحة الفيروسات القائمة على التوقيعات وحدها. رصد عمليات المتصفح المخفية غير المتوقعة، أو جلسات WebRTC الصادرة غير الاعتيادية التي تبدأ دون تفاعل المستخدم، أو المتصفحات التي تُطلق عبر بروتوكولات أتمتة مثل CDP خارج سياقات التطوير المتوقعة، يمكن أن يساعد في الإبلاغ عن هذا النوع من النشاط حتى عندما تتفادى البرمجية الخبيثة نفسها الفحص التقليدي.

ماذا يعني هذا بالنسبة لك

بالنسبة للمستخدمين الأفراد، يعتمد التعرض المباشر لأداة msaRAT على ما إذا كانت عصابة Chaos تستهدف المستهلكين أم تركز بشكل أساسي على المؤسسات، وهو النمط الأكثر شيوعاً لعصابات فيروسات الفدية. ومع ذلك، فإن التقنية الأساسية، وهي إخفاء حركة المرور الخبيثة داخل عمليات المتصفح الشرعية، هي تكتيك من المرجح أن تتبناه عائلات برمجيات خبيثة أخرى مع مرور الوقت نظراً لفعاليته الواضحة في تفادي الاكتشاف.

الدرس العملي للمستخدمين العاديين ومسؤولي تقنية المعلومات على حد سواء هو أن الثقة في تطبيق ما فقط لأنه معروف وشرعي لم تعد كافية. تبقى إشعارات تحديث البرامج المزيفة وسيلة توصيل شائعة لهذا النوع من البرمجيات الخبيثة، لذا فإن التحقق من أن برامج التثبيت تأتي مباشرة من المصادر الرسمية أصبح أكثر أهمية من أي وقت مضى. يمكن لشبكة VPN أن تضيف طبقة من حركة المرور المشفرة والمُربكة التي تجعل من الصعب على المهاجمين اعتراض اتصالك أو التلاعب به، لكنها لن تمنع برمجية خبيثة تعمل بالفعل على جهازك من إساءة استخدام متصفحك. تعتمد الحماية هنا بشكل أكبر على النظافة البرمجية الدقيقة، ومراقبة سلوك النظام غير الاعتيادي، والحفاظ على تحديث أدوات الأمن للتعرف على هذه الأنماط الناشئة.

خلاصة قابلة للتنفيذ

  • قم بتحميل تحديثات البرامج وأنظمة التشغيل فقط مباشرة من مواقع البائعين الرسمية أو آليات التحديث المدمجة، وليس أبداً من النوافذ المنبثقة أو برامج التثبيت من أطراف ثالثة.
  • انتبه لعمليات المتصفح غير المتوقعة التي تعمل في الخلفية، خاصة الحالات المخفية (headless) التي لا تتوافق مع أي شيء قمت أنت بفتحه.
  • حافظ على تحديث برمجيات أمن نقطة النهاية، حيث يعمل البائعون بنشاط على تكييف أساليب الكشف لالتقاط المؤشرات السلوكية كهذه بدلاً من الاعتماد فقط على توقيعات الملفات.
  • على المؤسسات أن تنظر في مراقبة الاستخدام غير المعتاد لبروتوكولات أتمتة المتصفح مثل CDP واتصالات WebRTC غير المتوقعة على الأجهزة المدارة.
  • تعامل مع شبكة VPN كجزء واحد من استراتيجية دفاع متعددة الطبقات تشمل أيضاً حماية نقطة النهاية وعادات تثبيت البرامج الحذرة، وليس كحل قائم بذاته ضد فيروسات الفدية.

كما تُظهر أداة msaRAT التابعة لفيروس الفدية Chaos، يجد المهاجمون بشكل متزايد طرقاً مبتكرة للاختباء على مرأى من الجميع باستخدام أدوات نثق بها بالفعل. يبقى البقاء على اطلاع على هذه التقنيات المتطورة، وتعديل العادات الشخصية وأدوات الأمن وفقاً لذلك، الطريقة الأكثر موثوقية للبقاء متقدمين عليهم.