أصدر محللو الأمن تحذيرًا عاجلًا بشأن حملة نشطة لبرامج الفدية تستخدم ملفات Excel الممكّنة بالماكرو المتنكرة في شكل فواتير لخداع الأشخاص ليقوموا بإصابة أجهزتهم بأنفسهم. وتعتمد الهجمة على حيلة مألوفة ولكنها لا تزال فعّالة: مستند يبدو كفاتورة تجارية روتينية، مصحوبًا بمطالبة تطلب من المستلم "تمكين المحتوى" حتى يعمل ماكرو مخفي. وبمجرد تنشيطه، يُشغّل ذلك الماكرو نصًا برمجيًا يقوم بتنزيل برامج الفدية وتثبيتها، مما يمنح المهاجمين القدرة على قفل الملفات والمطالبة بدفع فدية.
وعلى الرغم من أن الأسلوب نفسه ليس جديدًا، فإن كونه لا يزال نشطًا وفعّالًا بما يكفي ليتطلب تحذيرًا جديدًا يُظهر إلى أي مدى لا تزال الهندسة الاجتماعية مهمة في الهجمات الإلكترونية الحديثة. فقد تحسّنت الدفاعات التقنية dramatically على مر السنين، لكن المهاجمين يواصلون النجاح من خلال استهداف الحكم البشري بدلًا من الثغرات البرمجية.
كيف تعمل عملية احتيال الفاتورة عبر Excel
وفقًا للتحذير، تتمحور الحملة حول مستندات Excel الممكّنة بالماكرو، وهي ملفات تحمل الامتداد .xlsm وقادرة على تشغيل نصوص برمجية مضمّنة تسمى ماكرو. وقد صُممت الماكرو في الأصل لأتمتة المهام المتكررة في جداول البيانات، لكنها ظلت تُستغل منذ فترة طويلة كوسيلة لتوصيل البرمجيات الخبيثة لأنها قادرة على تنفيذ تعليمات برمجية بمجرد أن يمنح المستخدم الإذن.
في هذه الحملة، يتم تزيين جداول البيانات الخبيثة لتبدو كفواتير شرعية، وهو تنسيق يخفض بطبيعته حذر المستلم لأنه يحاكي المراسلات التجارية الروتينية. وعند فتح الملف، يعرض Excel عادةً تحذيرًا أمنيًا ويحظر الماكرو افتراضيًا. ولا تنجح الهجمة إلا إذا تجاوز الضحية ذلك الحماية يدويًا، عادةً لأن المستند يتضمن إشعارًا مزيفًا يزعم أن المحتوى غير قابل للقراءة ما لم يتم تمكين الماكرو.
وبمجرد تجاوز ذلك الحاجز، يُشغّل الماكرو المضمّن نصًا برمجيًا يتصل بخادم خارجي، وينزّل تعليمات برمجية خبيثة إضافية، وينشر برامج الفدية على نظام الضحية. ومن هناك، يمكن تشفير الملفات واحتجازها مقابل فدية، مما يعطّل البيانات الشخصية أو العمليات التجارية أو كليهما حسب من يتم استهدافه.
لماذا يصعب اكتشاف التوصيل القائم على النصوص البرمجية
أحد أسباب استمرار هذا النوع من الهجمات هو أن التوصيل القائم على النصوص البرمجية يمكن أن يتسلل عبر بعض أدوات الكشف التقليدية. فبدلًا من تضمين حمولة برامج الفدية مباشرة داخل ملف Excel، يستخدم المهاجمون الماكرو كنقطة انطلاق تجلب التعليمات البرمجية الخبيثة بشكل منفصل. ويمكن لهذا الأسلوب المرحلي أن يجعل المستند الأولي يبدو أقل إثارة للشك لدى أدوات الفحص الآلي، لأن المكوّن الضار فعليًا لا يكون موجودًا حتى بعد تشغيل النص البرمجي.
ويعكس ذلك اتجاهًا أوسع يستخدم فيه المهاجمون أساليب متعددة الطبقات أو متنكرة لتمرير التعليمات البرمجية الخبيثة عبر برامج الأمان. وفي حالة منفصلة غطاها vpn.social، استخدم قراصنة روس طلبًا نوويًا مزيفًا لخداع الماسحات الضوئية المدعومة بالذكاء الاصطناعي مضمّنًا داخل نص برمجي خبيث، وهو مثال آخر على قيام الفاعلين في مجال التهديدات بهندسة حمولاتهم خصيصًا لإرباك الدفاعات الآلية أو تجاوزها بدلًا من الاعتماد على استغلالات تقنية قائمة على القوة الغاشمة وحدها.
ماذا يعني هذا بالنسبة لك
بالنسبة للمستخدمين العاديين والشركات الصغيرة، تُذكّر هذه الحملة بأن برامج الفدية لا تتطلب دائمًا استغلالًا تقنيًا متطورًا. فغالبًا ما تتطلب فقط أن ينقر شخص واحد على "تمكين المحتوى" في ملف يبدو شرعيًا. وتُعد الفواتير والإيصالات ومستندات الفوترة طُعومًا فعّالة بشكل خاص لأنها تخلق إحساسًا بالإلحاح أو الالتزام الروتيني، مما يجعل الناس أقل ميلًا للتوقف وفحص الملف قبل فتحه.
إذا كان بريدك الإلكتروني في العمل أو الشخصي يتضمن بانتظام فواتير أو أوامر شراء أو مرفقات مالية، فإن هذه الحملة تستحق أن تُؤخذ على محمل الجد. فبرامج الفدية المنشورة عبر جهاز مخترق يمكن أن تنتشر إلى الأقراص المشتركة والمجلدات المتزامنة مع السحابة والشبكات المتصلة، مما يعني أن نقرة واحدة غير حذرة يمكن أن تكون لها عواقب تتجاوز بكثير جهاز كمبيوتر واحد.
إجراءات عملية يجب اتخاذها
تعامل مع مرفقات الفواتير غير المتوقعة بحذر، خاصة من المرسلين غير المألوفين أو عناوين البريد الإلكتروني غير المألوفة التي تنتحل صفة موردين حقيقيين. لا تمكّن أبدًا الماكرو في مستند Office إلا إذا كنت متأكدًا من مصدره ولديك سبب تجاري محدد للقيام بذلك. أبقِ إعدادات الماكرو معطّلة افتراضيًا في Excel وتطبيقات Office الأخرى، لأن معظم المستندات الشرعية لا تتطلبها. حافظ على نسخ احتياطية منتظمة وغير متصلة بالإنترنت للملفات المهمة حتى لا تتمكن برامج الفدية من احتجاز نسخك الوحيدة كرهينة. أبقِ برامج أمان نقاط النهاية وأنظمة التشغيل محدّثة، لأن العديد من أدوات الكشف يتم تحسينها باستمرار لالتقاط هذه الأساليب المتطورة القائمة على النصوص البرمجية.
تنجح حملات برامج الفدية مثل هذه من خلال استغلال الثقة والروتين، وليس فقط نقاط الضعف التقنية. ويظل البقاء متيقظًا للمرفقات غير المتوقعة، والتحقق من المرسلين قبل فتح الملفات، وإبقاء الماكرو معطّلًا افتراضيًا من بين أبسط الدفاعات وأكثرها فعالية المتاحة للأفراد والمؤسسات على حد سواء.
