حيلة جديدة من نوعها في الإعلانات الضارة
تتخذ حملة إعلانات ضارة تُعرف باسم SourTrade نهجًا غير معتاد لتسلل البرمجيات الخبيثة متجاوزةً أدوات الأمان: فبدلاً من إرسال ملف خبيث واحد، تقوم بتقسيم الحمولة إلى أجزاء وتجعل متصفح الضحية نفسه يعيد تجميعها في ملف تنفيذي لويندوز. ووفقًا لتقارير عن الحملة، تعتمد SourTrade على بيئة تشغيل Bun JavaScript إلى جانب عمليات الـ worker في المتصفح لإتمام عملية التجميع هذه، وقد لوحظ أنها تعمل بالفعل في 12 دولة.
يشير مصطلح الإعلانات الضارة إلى الشيفرات الخبيثة التي تُسلَّم عبر الإعلانات على الإنترنت، وغالبًا دون أن يضطر المستخدم للنقر على أي شيء يتجاوز إعلانًا أو عنصر صفحة ويب يبدو طبيعيًا. ما يجعل حملة SourTrade جديرة بالملاحظة ليس أسلوب التوصيل بحد ذاته، وهو شائع، بل تقنية البناء المستخدمة بمجرد أن يبدأ متصفح الضحية في معالجة محتوى الإعلان.
كيف تتسلل البرمجيات الخبيثة المُجمَّعة في المتصفح متجاوزةً الاكتشاف
تعتمد معظم أدوات مكافحة الفيروسات وحماية النقاط الطرفية اعتمادًا كبيرًا على الاكتشاف القائم على التجزئة (الهاش): تُقارن الملف بتوقيعات معروفة لبرمجيات خبيثة سبق التعرف عليها وفهرستها. ويعمل هذا جيدًا عندما يتلقى كل ضحية نفس الملف تمامًا، لأن تجزئة واحدة يمكنها الإبلاغ عن كل نسخة منه.
يبدو أن SourTrade صُممت خصيصًا لكسر هذا النموذج. فمن خلال تقسيم الحمولة الخبيثة إلى أجزاء واستخدام عمال المتصفح (browser workers)، وهي خيوط خلفية تشغّل نصوصًا برمجية دون حظر الصفحة الرئيسية، لإعادة بناء الملف التنفيذي داخل جلسة متصفح كل ضحية، تنتج الحملة ملفًا فريدًا لكل إصابة. ونظرًا لعدم وجود ملفين مُجمَّعين يشتركان في نفس التجزئة، يقل بشكل كبير ما يمكن للفحص التقليدي القائم على التوقيعات اكتشافه. ويُقال إن استخدام Bun، وهي بيئة تشغيل سريعة لجافاسكريبت، يساعد في تنفيذ عملية البناء داخل المتصفح هذه بكفاءة كافية لتجنب إثارة علامات أداء واضحة قد تنبّه المستخدم أو أداة الأمان.
بمجرد التجميع، يكون الملف الناتج عبارة عن ملف تنفيذي قياسي لنظام ويندوز، مما يعني أنه يستطيع تنفيذ أي وظيفة خبيثة صممها مشغّلو الحملة، بدءًا من سرقة بيانات الاعتماد وصولًا إلى إنشاء وصول عن بُعد دائم على الجهاز المصاب.
لماذا تُشكل عمليات البناء لكل جلسة أهمية على نطاق واسع
يشير الانتشار المبلغ عنه لحملة SourTrade عبر 12 دولة إلى أنها ليست اختبارًا صغيرًا معزولًا، بل حملة نشطة تدعمها بنية تحتية حقيقية. يُعد إنشاء ملف تنفيذي فريد لكل جلسة تحولًا مهمًا في الأساليب لأنه يستهدف مباشرة الحلقة الأضعف في دفاعات مكافحة الفيروسات التقليدية: افتراض أن عينات البرمجيات الخبيثة ثابتة وقابلة لإعادة الاستخدام عبر الضحايا.
عادةً ما يتصدى الباحثون الأمنيون لهذا النوع من التهرب باستخدام الكشف السلوكي، الذي يراقب ما يفعله الملف بدلًا من شكله، لكن هذا الأسلوب يتطلب أدوات أكثر تطورًا من مجرد مطابقة التجزئة. بالنسبة للمستخدمين العاديين وحتى العديد من المؤسسات الصغيرة، قد تظل برامج الأمان المُثبّتة على أجهزتهم تعتمد بدرجة كبيرة على قواعد بيانات التوقيعات، مما يترك فجوة صُممت حملات مثل SourTrade لاستغلالها. وبمجرد أن يتم اختراق جهاز بهذه الطريقة، يمكن أن يصبح أيضًا جزءًا من بوت نت أكبر، وهي شبكة من الأجهزة المصابة التي تُدار عن بُعد دون علم أصحابها، مما يوسع نطاق وصول المهاجم إلى أبعد من مجرد ضحية واحدة.
ماذا يعني هذا بالنسبة لك
لست بحاجة إلى أن تكون باحثًا أمنيًا لتقليل خطر تعرضك لحملات مثل SourTrade. تعتمد الإعلانات الضارة عمومًا على تحميل إعلانات أو نصوص برمجية مضمنة في الصفحات التي تزورها، وغالبًا عبر شبكات إعلانية شرعية تعرضت للاختراق أو أُسيء استخدامها، بدلًا من مواقع ويب مشبوهة بشكل واضح. وهذا يعني أن النصيحة المعتادة "تجنب المواقع المشبوهة فقط" ليست حماية كافية بحد ذاتها.
إضافات المتصفح التي تحظر نصوص الإعلانات ومتعقبات الجهات الخارجية تقلل المساحة المتاحة لهذا النوع من الهجمات، نظرًا لأن الكثير من المنطق الخبيث لا يحصل على فرصة للتنفيذ إذا تم حظر محتوى الإعلان نفسه قبل التحميل. كما أن تحديث المتصفح ونظام التشغيل باستمرار أمر مهم، لأن التصحيحات غالبًا ما تسد الآليات المحددة التي يعتمد عليها المهاجمون لتشغيل النصوص البرمجية بصمت في الخلفية. ونظرًا لصعوبة اكتشاف البرمجيات الخبيثة الفريدة المُنشأة لكل جلسة بواسطة الأدوات القائمة على التجزئة، فإن الاعتماد على برامج أمان تتضمن تحليلًا سلوكيًا أو استدلاليًا، وليس مجرد مطابقة التوقيعات، يمنحك فرصة أفضل بكثير لاكتشاف شيء غير اعتيادي قبل أن يتسبب في ضرر.
النقاط الرئيسية
- تُنشئ حملة SourTrade للإعلانات الضارة ملفًا تنفيذيًا فريدًا لويندوز لكل جلسة ضحية، مما يجعل اكتشاف الفيروسات التقليدي القائم على التجزئة أقل فعالية بكثير.
- تستخدم الحملة بيئة تشغيل Bun JavaScript وعمليات عمال المتصفح (browser workers) لإجراء هذا البناء داخل المتصفح.
- لوحظت الحملة عبر 12 دولة، مما يشير إلى بنية تحتية نشطة ومستمرة بدلًا من اختبار محدود.
- تقدم إضافات المتصفح التي تحظر الإعلانات، وتحديثات البرامج السريعة، وأدوات الأمان ذات القدرات على الاكتشاف السلوكي حماية أقوى من الفحص القائم على التوقيعات وحده.
- يمكن دمج الأجهزة المصابة في شبكات بوت نت أكبر، لذا فإن الإصابات الفردية تحمل مخاطر تمتد إلى أبعد من الضحية الأصلية.
