فخ CAPTCHA يحول فحص المتصفح إلى أداة إسقاط برمجيات خبيثة
يُظهر مسار تحقق مزيف وشاشة تعطل مزيفة لنظام ويندوز كيف تنتقل حملات البرمجيات الخبيثة الحديثة بالضغط الأول من الشيفرة إلى علم النفس، مع SmartRAT كحمولة مذكورة.
ما يبدو كفحص روتيني لمكافحة الروبوتات يمكن أن يصبح الآن الخطوة الافتتاحية في سلسلة برمجيات خبيثة. في هذه الحالة، استخدم المهاجمون مواقع مولدة بالذكاء الاصطناعي، وواجهة CAPTCHA مزيفة من Cloudflare، وشاشة زرقاء وهمية للموت لدفع الزوار إلى تنفيذ أوامر سلمت SmartRAT. الإغراء بسيط، لكن الآلية فعالة: استعارة واجهات موثوقة، وخلق شعور بالإلحاح، وترك المستخدم يقوم بالجزء الخطير.
حقائق سريعة
- كانت SmartRAT هي الحمولة البرمجية الخبيثة المسماة في الحملة.
- جمع الإغراء بين CAPTCHA مزيفة من Cloudflare وشاشة BSOD وهمية.
- استخدمت سلسلة الهجوم تقنية ClickFix لدفع المستخدم إلى التفاعل.
- تم الإبلاغ عن أن الحملة تستهدف عملاء بنك برازيلي كبير غير مسمى.
- استخدمت مواقع مولدة بالذكاء الاصطناعي لتسليم الصفحات الخادعة.
كيف يعمل الفخ
التفصيل المهم ليس فقط أن الصفحات كانت مزيفة، بل أنها صممت لتبدو مألوفة بما يكفي لتقليل الشك. نظام Turnstile الحقيقي من Cloudflare هو طبقة تحقق مشروعة، ما يجعل علامته التجارية ذات قيمة للاستنساخ لأن المستخدمين يربطونها بالفعل بالاحتكاك الطبيعي في الويب. لذلك يمكن لصفحة CAPTCHA مزيفة أن تعمل كجسر ثقة: يعتقد الضحية أنه يحل فحصا عاديا، بينما تقوده الصفحة فعليا إلى المرحلة التالية من الهجوم.
تضيف شاشة BSOD الوهمية طبقة ثانية من الضغط. تشير شاشة التوقف الحقيقية في ويندوز إلى مشكلة خطيرة، لذا يمكن للنسخة المزيفة أن تثير الذعر وتقلص نافذة قرار المستخدم. وهذا مهم لأن هجمات ClickFix لا تحتاج إلى استغلال برمجي بالمعنى الكلاسيكي. فهي تعتمد على التعليمات، وسوء استخدام الحافظة، وتنفيذ الضحية نفسه للأوامر التي يقدمها المهاجم. ومن منظور دفاعي، ينقل ذلك الوصول الأولي بعيدا عن شيفرة البرمجيات الخبيثة ونحو عمليات التسليم من المتصفح إلى shell التي لا تراقبها كثير من أدوات الأمان بدقة كافية.
تعد SmartRAT نهاية تلك السلسلة، لكن المعلومات المتاحة لا تثبت السلوك الكامل بعد الاختراق ولا ما إذا كان قد حدث سرقة للبيانات. وحتى وقت كتابة هذا المقال، لم تثبت المعلومات العامة بالكامل السبب التقني الجذري، أو النطاق الكامل للمستخدمين المتأثرين، أو ما إذا كانت الأنظمة اللاحقة قد تعرضت للاختراق. الأدلة المتاحة تدعم تحليلا للمخاطر، لا ادعاء قاطعا بوجود خرق أوسع.
الدرس الأوسع هو أن حملات التسليم الحديثة أصبحت تعتمد بشكل متزايد على سرقة الواجهات. فعندما يستطيع المهاجمون محاكاة فحص علامة تجارية أو خطأ نظام بشكل مقنع، يمكنهم تحويل التصفح العادي إلى تنفيذ برمجيات خبيثة من دون الاعتماد على استغلال في المتصفح أو رسالة تصيد وحدها. لذلك ينبغي للمدافعين التعامل مع مطالبات التحقق المزيفة، وتعليمات الحافظة، وعمليات تشغيل shell غير المتوقعة، باعتبارها أحداثا عالية الإشارة، لا أخطاء مستخدم غير ضارة.
الخلاصة
الجزء الأكثر خطورة في هذه الحملة هو مدى عاديته الظاهرية. فحص روبوتات. شاشة تعطل. إصلاح سريع. معا، تشكل تذكيرا بأن الثقة أصبحت الآن سطح هجوم، وأن أسرع طريق للولوج غالبا هو الذي يطلب من الضحية أن تنقر وتنسخ وتذعن.
WIKICROOK
- ClickFix: تقنية هندسة اجتماعية تخدع المستخدمين لتشغيل أوامر يقدمها المهاجم تحت ستار التحقق أو استكشاف الأخطاء وإصلاحها.
- RAT: حصان طروادة للوصول البعيد، وهو برمجية خبيثة يمكن أن تتيح للمهاجم تشغيل جهاز الضحية عن بعد.
- BSOD: شاشة الموت الزرقاء، وهي شاشة خطأ توقف في ويندوز غالبا ما ترتبط بفشل خطير في النظام.
- Turnstile: نظام التحقق من Cloudflare الذي يستخدم إشارات التحدي والتحقق من جهة الخادم في عمليات النشر المشروعة.
- انتحال العلامة التجارية: استخدام شعار أو واجهة أو اسم موثوق لجعل صفحة خبيثة تبدو مشروعة.
