تُظهر حملة ClickFix جديدة كيف يمكن لعملية نسخ ولصق واحدة أن تفتح بابًا إلى جهاز والشبكة المحيطة به. وفقًا لتقرير من GBHackers، تستخدم الحملة مكوّنًا يُسمى محمّل Lorem Ipsum لتثبيت برمجية زرع نفقية قائمة على Python، مما يمنح المهاجمين مسارًا خفيًا إلى الضحايا. سلسلة برمجية الزرع النفقية في هجوم ClickFix هذه تذكير مفيد بأن بعض أكثر الهجمات فعالية لا تستغل عيوب البرمجيات على الإطلاق. بل تعتمد على إقناع شخص بتشغيل الكود بنفسه.
التقرير المصدر موجز، لذا يلتزم هذا المقال بما تم تأكيده: طريقة التسليم، والمحمّل، ونوع برمجية الزرع المعنية. وحيثما لا تتوفر التفاصيل، نوضح ذلك.
كيف يخدع ClickFix الأشخاص لتصيب أجهزتهم أنفسهم
ClickFix هو أسلوب هندسة اجتماعية. فبدلًا من تسليم البرمجيات الخبيثة عبر تنزيل واضح، يُظهر المهاجم للضحية مطالبة تبدو كإصلاح روتيني لمشكلة. يُطلب من المستخدم نسخ أمر ولصقه في نافذة نظام، مثل مربع حوار Run في Windows أو طرفية. ولأن المستخدم هو من ينفذ الإجراء، يمكن لهذه الخطوة أن تتجاوز الحمايات المصممة لاعتراض التنزيلات أو المرفقات المشبوهة.
الزاوية التي تجعل هذا الأسلوب فعالًا هي البساطة. لا يوجد مثبّت غريب للتساؤل عنه. الشخص يتبع فقط ما يبدو كتعليمات لاستكشاف الأخطاء وإصلاحها. في هذه الحملة، الأمر الملصوق هو ما يبدأ سلسلة الإصابة التي تؤدي إلى محمّل Lorem Ipsum.
ما الذي يفعله محمّل Lorem Ipsum وبرمجية الزرع النفقية
المحمّل هو برنامج صغير تتمثل مهمته الرئيسية في جلب شيء آخر. هنا، يثبّت محمّل Lorem Ipsum برمجية زرع نفقية قائمة على Python. برمجية الزرع هي قطعة برمجية تُترك قيد التشغيل على جهاز مخترق ليتمكن المهاجمون من الحفاظ على الوصول بمرور الوقت.
الت tunneling يعني إنشاء قناة تنقل حركة البيانات بين الجهاز المصاب ونظام يتحكم به المهاجم. عمليًا، يمكن أن يمنح هذا المهاجم مسارًا خفيًا إلى جهاز الضحية، وربما وسيلة للوصول إلى موارد أخرى يستطيع الجهاز رؤيتها. يصف التقرير النتيجة كمسار خفي إلى الضحايا، وهو الخطر الجوهري: يمكن لنشاط المهاجم أن يندمج مع اتصالات الجهاز الطبيعية.
لا يقدم المصدر تفاصيل تقنية إضافية، مثل عدد الضحايا، أو البنية التحتية وراء الحملة، أو من المسؤول، لذا لن نضرب التخمينات بشأن هذه النقاط.
لماذا تهم برمجية الزرع النفقية خصوصيتك
برمجية الزرع النفقية مقلقة بسبب ما يمكن أن تقع بينه. قد يكون لجهاز على شبكة منزلية أو مكتبية وصول إلى ملفات شخصية، وجلسات محفوظة، وأدوات داخلية، وأقراص مشتركة، وأجهزة أخرى متصلة. إذا كان لدى مهاجم قناة خفية إلى ذلك الجهاز، فقد يصبح الجهاز نقطة انطلاق وليس مجرد نقطة اختراق واحدة.
لهذا يمكن لخطأ نسخ ولصق أن تكون له آثار تتجاوز حاسوبًا محمولًا واحدًا. يمكن لهذا النوع من الوصول أن يقوّض خصوصية كل ما يلمسه الجهاز. وبالنسبة للعاملين، قد يزيد أيضًا المخاطر على أنظمة صاحب العمل التي يمكن الوصول إليها من إعداد منزلي أو عن بُعد.
هذا نمط مشابه لحالات أخرى تُستخدم فيها أدوات الويب العادية ضد المستخدمين. على سبيل المثال، غطينا مؤخرًا كيف تم القبض على إضافات Chrome الخبيثة وهي تسرق بيانات العملات المشفرة، وهي حالة أخرى يصبح فيها شيء يبدو روتينيًا هو طريق الدخول.
ماذا يعني هذا لك
النقطة الأساسية هي أنك أنت هدف الخدعة، وليس برمجياتك فقط. يمكن اختراق حاسوب محدّث بالكامل إذا أُقنعت بتشغيل أمر خبيث. أي شخص يستخدم حاسوبًا ويواجه صفحات ويب أو نوافذ منبثقة أو مطالبات تحقق وأخطاء مزيفة قد يكون عرضة لهذا النوع من الإغراء.
الخبر الجيد أن الدفاع بسيط وفي متناول سيطرتك. يعتمد الهجوم على إجراء واحد، ورفض القيام به يكسر السلسلة.
علامات التحذير وكيفية حماية نفسك
راقب هذه العلامات الحمراء:
- صفحة ويب تطلب منك نسخ نص ولصقه في مربع حوار Run أو Terminal أو PowerShell "لإصلاح" مشكلة أو "للتحقق" من أنك إنسان.
- تعليمات تخبرك بالضغط على اختصارات لوحة مفاتيح تفتح نافذة أوامر النظام.
- مطالبة تخلق إلحاحًا، مدعية أن شيئًا ما سيتعطل أو سيُحظر ما لم تتصرف فورًا.
- ترى عمليات Python غير مفسرة أو نشاطًا خلفيًا غير مألوف بعد اتباع أي من هذه التعليمات.
إذا كنت تعتقد أنك شغّلت أمرًا مشبوهًا، افصل الجهاز عن الشبكة، وشغّل فحصًا كاملًا باستخدام حماية نقاط النهاية الموثوقة، وغيّر كلمات المرور المهمة من جهاز آخر نظيف. وإذا كان الجهاز مستخدمًا للعمل، فأخبر فريق تقنية المعلومات أو الأمن لديك فورًا.
الخلاصات الرئيسية
حملة برمجية الزرع النفقية في هجوم ClickFix تذكير بأن لصقة واحدة يمكن أن تلغي الكثير من العادات الأمنية الجيدة. لتقليل مخاطرك:
- لا تلصق أبدًا أوامر من مطالبة ويب في طرفية أو مربع حوار Run إلا إذا فهمتها بالكامل ووثقت بالمصدر.
- أبقِ نظام التشغيل والبرمجيات محدّثة، واستخدم حماية نقاط النهاية التي يمكنها رصد السلوك المشبوه.
- تعامل مع مطالبات "الإصلاح" و"التحقق" العاجلة بارتياب، وأغلق الصفحة بدلًا من ذلك.
- حافظ على نظافة الشبكة في المنظور الصحيح. يمكن أن تكون VPN طبقة مفيدة لحماية حركة مرورك، لكنها لا توقف البرمجيات الخبيثة التي تشغّلها على جهازك.
لمثال آخر على إساءة استخدام أدوات الويب اليومية، اقرأ تقريرنا عن إضافات المتصفح الخبيثة التي تسرق بيانات العملات المشفرة، وابقَ متشككًا تجاه أي مطالبة تطلب منك القيام بعمل المهاجم نيابة عنه.
