حملة برمجيات خبيثة جديدة تستغل ثقة المستخدمين في اسم مألوف. حدد باحثون أمنيون تنزيل CCleaner مزيفًا يثبت GhostDesk، وهي إضافة Chrome خبيثة مصممة لجمع ملفات تعريف الارتباط وبيانات الدخول المحفوظة وضغطات المفاتيح ولقطات الشاشة بهدوء من أجهزة Windows المصابة. تذكرنا هذه الحملة بأن حتى البرمجيات المساعدة المعروفة يمكن أن تتحول إلى سلاح عندما يتحكم المهاجمون في مصدر التنزيل.
ما الذي حدث: حملة CCleaner المزيفة
CCleaner أداة مستخدمة على نطاق واسع لمسح الملفات المؤقتة وتحسين أداء Windows، مما يجعلها طُعمًا جذابًا لمجرمي الإنترنت. في هذه الحالة، قام المهاجمون بتضمين GhostDesk داخل مثبت مصمم ليبدو مثل تنزيل CCleaner شرعي. بمجرد أن يشغل المستخدم الملف، تنشر البرمجية الخبيثة إضافة Chrome تعمل في الخلفية، مما يمنح المهاجم موطئ قدم دائم داخل المتصفح بدلًا من نظام التشغيل فقط.
من خلال استهداف المتصفح مباشرة، يصل GhostDesk إلى بعض أكثر البيانات حساسية التي ينتجها الشخص عبر الإنترنت: جلسات تسجيل الدخول المخزنة في ملفات تعريف الارتباط، وأسماء المستخدمين وكلمات المرور المحفوظة في المتصفح، وحتى النشاط اللحظي الملتقط عبر ضغطات المفاتيح ولقطات الشاشة. يتيح هذا المزيج للمهاجم إمكانية تجاوز حقول كلمات المرور كليًا عن طريق اختطاف الجلسات النشطة، وبناء صورة تفصيلية لسلوك الضحية على الإنترنت بمرور الوقت.
كيف يعمل GhostDesk داخل Chrome
تكون إضافات المتصفح الخبيثة فعالة بشكل خاص لأنها تعمل بوصول مرتفع إلى كل ما يفعله المستخدم داخل المتصفح، وغالبًا دون إثارة الإنذارات نفسها التي تثيرها البرمجيات الخبيثة التقليدية على سطح المكتب. بمجرد تثبيت GhostDesk، لا يحتاج إلى التواصل المستمر مع خادم قيادة ليكون خطيرًا. بدلًا من ذلك، يمكنه جمع البيانات بشكل سلبي أثناء تصفح المستخدم أو تعاملاته المصرفية أو تسوقه أو تسجيل دخوله إلى حسابات العمل، ثم تسريب تلك المعلومات على فترات.
سرقة ملفات تعريف الارتباط مثيرة للقلق بشكل خاص لأن ملف تعريف الارتباط المسروق للجلسة يمكن أن يسمح للمهاجم بانتحال شخصية مستخدم مسجل الدخول دون الحاجة إلى كلمة مروره أبدًا. وبالاقتران مع تسجيل ضغطات المفاتيح والتقاط لقطات الشاشة، يستطيع GhostDesk التقاط بيانات الدخول للحسابات التي تستخدم رموز المصادقة متعددة العوامل المكتوبة مباشرة في صفحة ويب، إذ يمكن للبرمجية الخبيثة مراقبة الرمز أثناء إدخاله بدلًا من الحاجة إلى اعتراضه بشكل منفصل.
لماذا تشكل إضافات المتصفح خطرًا متناميًا على الخصوصية
يأتي هذا الحادث ضمن نمط أوسع أصبح فيه المتصفح، وليس نظام التشغيل، ساحة المعركة الأساسية لسرقة البيانات. فالمتصفحات تخزن الآن كلمات المرور ومعلومات الدفع وسجل التصفح والجلسات النشطة لعشرات الخدمات في آن واحد، مما يجعلها هدفًا عالي القيمة. ويمكن للإضافات على وجه الخصوص أن تتسلل دون تدقيق عابر لأن المستخدمين اعتادوا منحها أذونات واسعة «لتحسين» التصفح، دون التحقق دائمًا من مصدر الإضافة الفعلي أو ما تفعله في الخلفية.
تبرز حالة CCleaner المزيفة أيضًا كيف يواصل المهاجمون الاعتماد على أسماء برامج موثوقة بدلًا من برامج غامضة أو غير مألوفة لزيادة احتمالات أن يقوم الضحية بتنزيل الملف وتشغيله دون تردد. ومع تحول توزيع البرمجيات اليومية بشكل متزايد نحو نتائج محركات البحث ومواقع التنزيل التابعة لجهات خارجية، يزداد خطر مواجهة نسخة مزيفة مقنعة. وهذا جزء من اتجاه أوسع يضع فيه المهاجمون أدوات خبيثة حول منظومات تقنية شرعية، على نحو مشابه لما حاولت جهات تابعة لدول قومية فعله لتشكيل الوصول إلى التقنيات الناشئة مثل تطوير الذكاء الاصطناعي مفتوح المصدر والتحكم فيه لأغراضها الاستراتيجية.
ماذا يعني ذلك بالنسبة لك
إذا كنت قد نزّلت CCleaner مؤخرًا من مصدر آخر غير موقع المورد الرسمي، فمن المفيد التحقق من إضافات Chrome المثبتة لديك بحثًا عن أي شيء غير مألوف، إلى جانب مراجعة مدير مهام Chrome بحثًا عن عمليات لا تتعرف عليها. ولأن GhostDesk يستهدف ملفات تعريف الارتباط وبيانات الدخول المحفوظة، يجب على أي شخص يشتبه في إصابة أن يتعامل مع كلمات المرور المخزنة في المتصفح والجلسات النشطة على أنها قد تكون مخترقة، وليس نظام التشغيل فقط.
الدرس العملي يتجاوز هذه الحملة الواحدة. البرمجيات المساعدة المجانية، خاصة الأدوات التي تعد بـ«تسريع» الحاسوب أو «تنظيفه»، تشكل تمويهًا شائعًا باستمرار للبرمجيات الخبيثة لأنها تجتذب المستخدمين الباحثين عن حل سريع. يظل تنزيل البرمجيات من مواقع الموردين الرسمية فقط، بدلًا من إعلانات البحث أو مواقع التجميع التابعة لجهات خارجية، أحد أبسط الطرق لتجنب هذه الفئة من الهجمات كليًا.
خطوات عملية يمكن اتخاذها
راجع إضافات Chrome المثبتة لديك وأزل أي شيء لا تتعرف عليه أو لم تثبته عن قصد. لا تنزّل CCleaner أو أي برنامج مساعد إلا من الموقع الرسمي للناشر مباشرة، وليس من نتائج البحث أو مراكز التنزيل التابعة لجهات خارجية. غيّر كلمات المرور للحسابات الحساسة إذا كنت تشتبه في أن متصفحك قد تعرض للاختراق، وفكر في استخدام مدير كلمات مرور منفصل عن التخزين المدمج في المتصفح. أجرِ فحصًا كاملًا بمضاد فيروسات أو مضاد برمجيات خبيثة على أي جهاز Windows بدا فيه تنزيل حديث مريبًا، وفعّل المصادقة متعددة العوامل باستخدام تطبيق مصادقة بدلًا من رمز يُكتب على الشاشة حيثما أمكن. البقاء متيقظًا لطريقة انتشار برمجية GhostDesk التجسسية لمتصفح Chrome عبر المثبتات المزيفة هو أحد أكثر الدفاعات فعالية المتاحة للمستخدمين العاديين.
