Glove Stealer Malware
يعد برنامج Glove Stealer Malware إضافة حديثة إلى مشهد التهديدات الإلكترونية، ويتميز بقدرته على تجاوز تشفير Google Chrome المرتبط بالتطبيق (App-Bound). تم التعرف على هذا التهديد لأول مرة من قبل باحثي الأمن السيبراني أثناء التحقيق في حملة تصيد، ويمثل لحظة محورية في سباق التسلح بين الجهات الخبيثة وحلول الأمان.
ما يميز Glove Stealer هو تصميمه البسيط نسبيًا. فهو لا يظهر سوى الحد الأدنى من التعتيم أو الآليات الدفاعية، مما يشير إلى مرحلة مبكرة من التطوير. ومع ذلك، فإن بساطته لا تقوض إمكاناته. ويجلب هذا البرنامج الخبيث تحديًا جديدًا، مما يشير إلى أن تطوره قد لا يكون بعيدًا.
جدول المحتويات
الهندسة الاجتماعية: منصة إطلاق العدوى
تعتمد سلسلة العدوى التي تنشر Glove Stealer على تكتيكات الهندسة الاجتماعية التي تذكرنا بتلك المستخدمة في حملات ClickFix. يتم إغراء الضحايا من خلال رسائل البريد الإلكتروني الاحتيالية التي تحتوي على مرفقات HTML احتيالية تحاكي نوافذ الخطأ. عندما يتفاعل المستخدمون مع هذه المطالبات، فإنهم يتسببون عن غير قصد في تشغيل عملية تثبيت البرامج الضارة، مما يمهد الطريق لاستخراج المعلومات الحساسة.
بمجرد دخوله إلى النظام المستهدف، يُظهِر Glove Stealer فعاليته من خلال استخراج ملفات تعريف الارتباط بسرعة من المتصفحات الشائعة، بما في ذلك Chrome وEdge وBrave وYandex وOpera. ويمتد نطاقه إلى ما هو أبعد من المتصفحات، حيث يستهدف مستخدمي Firefox أيضًا، مما يُظهِر استراتيجية هجوم متعددة الاستخدامات.
سارق بيانات متعدد الاستخدامات
من بين السمات المميزة لبرنامج Glove Stealer قدرته على استخراج البيانات من مجموعة كبيرة من المصادر. البرنامج الخبيث ماهر في جمع:
- ملفات تعريف الارتباط الخاصة بالمتصفح: الهدف الأساسي لجمع البيانات الأولية، مما يساعد المهاجمين على اختطاف الجلسات المصادق عليها.
- محافظ العملات المشفرة: تستخرج بيانات المحفظة من ملحقات المتصفح، وهو ما يشكل مصدر قلق كبير لحاملي العملات الرقمية.
- رموز 2FA: تستهدف هذه الرموز الجلسات من تطبيقات المصادقة مثل Google وMicrosoft وAegis وLastPass، مما يعرض طبقة أساسية من الأمان للخطر.
- بيانات كلمة المرور: يسرق بيانات الاعتماد المخزنة في مديري كلمات المرور مثل Bitwarden وKeePass وLastPass.
- البريد الإلكتروني: يخترق عملاء البريد الإلكتروني، وخاصة Thunderbird، للوصول إلى الاتصالات الحساسة.
وبالإضافة إلى ذلك، يستهدف Glove Stealer أكثر من 280 امتدادًا للمتصفح وحوالي 80 تطبيقًا مثبتًا محليًا، مع التركيز على محافظ العملات المشفرة وعملاء البريد الإلكتروني وأدوات المصادقة.
تجاوز التشفير المرتبط بالتطبيق: الميزة التقنية
أحد أهم التطورات التي حققها Glove Stealer هي قدرته على تجاوز تشفير App-Bound في Chrome. تم تقديم هذه الميزة الأمنية في Chrome 127، وتم تصميمها لحماية ملفات تعريف الارتباط في المتصفح من الوصول غير المصرح به. يستفيد Glove Stealer من وحدة معينة لتحقيق ذلك، باستخدام خدمة IElevator Windows المستندة إلى COM في Chrome، والتي تعمل بامتيازات SYSTEM، لفك تشفير واسترجاع المفاتيح المشفرة App-Bound.
ومع ذلك، تتطلب هذه التقنية حقوق المسؤول المحلي على النظام المخترق لزرع الوحدة داخل دليل ملفات البرامج في Chrome. ورغم أن هذا يمثل عقبة أولية، فقد وجد العديد من المهاجمين طرقًا لتجاوز متطلبات هذه الامتيازات من خلال سلاسل الاستغلال وتكتيكات الهندسة الاجتماعية.
استراتيجية مألوفة باسم جديد
إن الطريقة التي يستخدمها Glove Stealer لتجاوز التشفير ليست جديدة تمامًا. فقد لاحظ المحللون أوجه تشابه بين نهجه وتلك التي شوهدت في برامج سرقة المعلومات السابقة التي ظهرت بعد أن نشر Chrome لأول مرة تشفير App-Bound. وهذا يؤكد على اتجاه: مطورو البرامج الضارة الذين يصقلون التقنيات الراسخة للتهرب من تدابير الأمان الجديدة. وعلى الرغم من مطالبة Glove Stealer بامتيازات المسؤول، فإن تبني هذا التجاوز يشير إلى أن مطوريه يهدفون إلى رفع مستواه إلى مستوى جامعي المعلومات الأكثر تقدمًا.
مشهد تهديد متزايد
منذ تقديم تشفير App-Bound الخاص بمتصفح Chrome في يوليو/تموز، لم يكن هناك انخفاض كبير في حجم حملات سرقة المعلومات. في الواقع، أصبحت الهجمات أكثر تعقيدًا، وتستهدف الضحايا من خلال طرق متنوعة مثل:
- الإعلانات الخبيثة والتصيد الاحتيالي : الاستفادة من الإعلانات الخادعة والتصيد الاحتيالي المستهدف لاصطياد الضحايا.
- استغلال الثغرات الأمنية : استخدام ثغرات اليوم صفر وبرامج التشغيل الضعيفة لتجاوز بروتوكولات الأمان.
- التكتيكات الخادعة عبر الإنترنت : إخفاء البرامج الضارة في حلول StackOverflow واستجابات GitHub للمشكلات.
إن النجاح المستمر لمثل هذه العمليات يثبت أن حتى إجراءات التشفير القوية لا يمكنها ردع المهاجمين المتحمسين بمفردها. إن Glove Stealer هو شهادة على الطبيعة التكيفية للجهات الفاعلة المهددة التي تسارع إلى استغلال وتجاوز تطبيقات الأمان الجديدة.
الطريق إلى الأمام
ورغم أن المراحل المبكرة من تطوير Glove Stealer وتقنيات الالتفاف الأساسية قد تشير إلى تأثير محدود في الوقت الحالي، فإن وجوده يشير إلى اتجاه أوسع نطاقاً لتطوير قدرات البرامج الضارة. ومع استمرار هذا التهديد في التطور، فإنه قد يتضمن أساليب أكثر تطوراً لتوسيع نطاقه وفعاليته.
إن فهم ظهور التهديدات مثل Glove Stealer أمر بالغ الأهمية بالنسبة لمحترفي الأمن السيبراني. إن البقاء على اطلاع دائم واليقظة وتحديث دفاعات نقاط النهاية وتثقيف المستخدمين حول تحديد تكتيكات التصيد والهندسة الاجتماعية تظل خطوات بالغة الأهمية في الحماية من التهديدات الناشئة.
ربما تكون رحلة Glove Stealer قد بدأت للتو، ولكنها على استعداد لتحدي التدابير الأمنية والحث على المزيد من الابتكارات في مجال الأمن السيبراني.
