حملة هجوم كريبتو كليبر على نظام ويندوز

كشف باحثون أمنيون عن تفاصيل عملية متطورة لسرقة العملات المشفرة تعتمد على نظام ويندوز، والتي كانت نشطة منذ فبراير 2026. وتستخدم الحملة برامج خبيثة لمراقبة الحافظة قادرة على الانتشار الذاتي وتستغل شبكة تور لإخفاء هوية المستخدمين لإخفاء البنية التحتية للاتصالات الخاصة بها.

بخلاف عمليات البرمجيات الخبيثة التقليدية التي تعتمد على برامج تثبيت قياسية أو خوادم تحكم وسيطرة (C2) مكشوفة للعامة، يقوم هذا التهديد بنشر عميل Tor محمول وتوجيه جميع البيانات عبر وكيل SOCKS5 محلي. ومن خلال الجمع بين سرقة العملات المشفرة، وتسريب البيانات، وقدرات تنفيذ التعليمات البرمجية عن بُعد، لا تعمل هذه البرمجية الخبيثة كأداة لقص البيانات فحسب، بل كباب خلفي خفيف الوزن أيضًا.

كيف يعمل برنامج كليبر الخبيث

صُمم برنامج كليبر الخبيث لمراقبة نشاط الحافظة لدى الضحية خلسةً، واعتراض المعلومات الحساسة المنسوخة إلى الذاكرة. هدفه الرئيسي هو التلاعب بمعاملات العملات المشفرة من خلال تحديد عناوين المحافظ المرتبطة بتنسيقات البلوك تشين المعروفة، واستبدالها بعناوين بديلة يتحكم بها المهاجم. ونتيجةً لذلك، يمكن تحويل الأموال المخصصة للمستفيدين الشرعيين دون علم الضحية.

تعتمد هذه الحملة على برنامج Windows Script Host ووظائف ActiveX لتشغيل وكيل Tor مضمن والتواصل مع خادم تحكم/تحكم مخفي. يقوم البرنامج الخبيث بمراقبة الحافظة بشكل مستمر، والتقاط لقطات شاشة، وسرقة معلومات متعلقة بالعملات المشفرة، واستبدال عناوين المحافظ في الوقت الفعلي.

سلسلة العدوى ووظيفة الديدان عبر منفذ USB

يبدأ الهجوم بتوزيع ملفات اختصار ويندوز خبيثة (LNK) عبر أجهزة تخزين USB قابلة للإزالة. عند فتح الضحية لأحد هذه الاختصارات، يتم تفعيل مكون دودة. يتحقق البرنامج الخبيث أولاً مما إذا كان النظام مصابًا بالفعل، ولا يقوم بتنزيل الحمولة المتبقية إلا في حال عدم اكتشاف أي إصابة سابقة.

يقوم برنامج LNK الخبيث بالبحث بنشاط في أجهزة USB المتصلة عن تنسيقات المستندات الشائعة، بما في ذلك ملفات DOC وXLSX وPDF. وبمجرد اكتشافها، تُخفى هذه الملفات وتُستبدل بملفات اختصار خبيثة تحمل نفس الأسماء. تزيد هذه التقنية الخادعة من احتمالية قيام المستخدمين بتشغيل البرنامج الخبيث دون علمهم أثناء محاولتهم فتح ما يبدو أنه مستند شرعي.

إلى جانب الاختراق الأولي، يتولى الفيروس مسؤولية نشر العدوى إلى أجهزة USB أخرى غير مصابة. كما يرسخ وجوده من خلال إنشاء مهام مجدولة لكل من الفيروس ومكونات برنامج السرقة.

التهرب المتقدم وتنفيذ الأوامر المستمر

يستخدم مكون القصّ WScript و ActiveXObject للتفاعل مباشرةً مع نظام التشغيل. ولتقليل احتمالية اكتشافه، يتحقق البرنامج الخبيث من العمليات النشطة ويُنهي نفسه تلقائيًا إذا كان مدير المهام قيد التشغيل.

خلال المرحلة الأخيرة من التنفيذ، يتم تشغيل ملف تور ثنائي مُعاد تسميته في نافذة مخفية. ثم يقوم البرنامج الخبيث بإنشاء مُعرّف فريد للضحية وتسجيله في بنيته التحتية البعيدة. بعد التسجيل، يدخل في حلقة تشغيل مستمرة، حيث يقوم باستطلاع خادم التحكم والسيطرة بحثًا عن الأوامر مع مراقبة محتويات الحافظة كل 500 مللي ثانية تقريبًا.

إضافةً إلى جمع بيانات محافظ العملات الرقمية، وعبارات الاسترداد، والمفاتيح الخاصة، يقوم البرنامج الخبيث بالتقاط لقطات شاشة ونقلها عبر شبكة تور. إذا استجاب خادم التحكم والسيطرة بأمر EVAL، يتم تنفيذ التعليمات البرمجية التي يقدمها المهاجم ديناميكيًا على النظام المخترق، مما يوسع بشكل كبير من قدرات التهديد.

المؤشرات الرئيسية والتوصيات الدفاعية

يُنصح فرق الأمن بالتركيز على تقنيات الكشف السلوكي بدلاً من الاعتماد فقط على التوقيعات الثابتة للبرمجيات الخبيثة. وينبغي إيلاء اهتمام خاص لأنشطة التقاط الشاشة المشبوهة باستخدام PowerShell، والاستخدام غير المعتاد لمحركات برمجة Windows النصية مثل WScript أو CScript لتشغيل أدوات مثل curl أو cmd.exe أو PowerShell أو غيرها من الملفات التنفيذية غير المتوقعة.

تشمل التدابير الدفاعية الموصى بها ما يلي:

• تعطيل وظائف التشغيل التلقائي والتشغيل التلقائي لجميع الوسائط القابلة للإزالة، ومنع تنفيذ ملفات LNK من أجهزة USB من خلال كائنات نهج المجموعة (GPOs)، والحد من الاستخدام غير الضروري لملفات wscript.exe و cscript.exe.
• أنظمة مراقبة تتعامل مع العمليات المالية أو المتعلقة بالعملات المشفرة لرصد النشاط غير الطبيعي للحافظة، وسلوك التقاط الشاشة غير المصرح به، والاتصالات الشبكية المشبوهة المتعلقة بشبكة تور.

لماذا يبرز هذا التهديد؟

تُظهر هذه الحملة التطور المتزايد للبرمجيات الخبيثة ذات الدوافع المالية. فمن خلال دمج انتشار الديدان عبر منفذ USB، واختراق الحافظة، والاتصالات المُشفرة عبر شبكة Tor، وسرقة لقطات الشاشة، وتنفيذ التعليمات البرمجية عن بُعد في مجموعة أدوات واحدة، ابتكر القائمون على هذه الحملة تهديدًا متعدد الاستخدامات قادرًا على سرقة أصول العملات المشفرة والحفاظ على وصول طويل الأمد إلى الأنظمة المصابة. كما أن استخدام بنية تحتية للخدمات المخفية يزيد من تعقيد جهود الكشف والإزالة، مما يجعل المراقبة السلوكية الاستباقية استراتيجية دفاعية بالغة الأهمية.