حملة البرمجيات الخبيثة Noodlophile

يشن مجرمو الإنترنت، الذين يقفون وراء برمجية Noodlophile الخبيثة، حملةً مستمرة تستهدف مؤسساتٍ في الولايات المتحدة وأوروبا ودول البلطيق ومنطقة آسيا والمحيط الهادئ. ويهدفون، من خلال الجمع بين أساليب التصيد الاحتيالي الموجه وآليات التنفيذ المتطورة، إلى نشر أداةٍ قويةٍ لسرقة المعلومات، تتطور باستمرار.

التصيد الرمحي مع لمسة جديدة

الحملة، التي استمرت لأكثر من عام، تحولت إلى رسائل بريد إلكتروني احتيالية مُقنّعة، مُتخفية في صورة إشعارات انتهاك حقوق الطبع والنشر. هذه الرسائل ليست عامة؛ إذ يُعدّلها المهاجمون باستخدام بيانات استطلاعية، مثل مُعرّفات صفحات فيسبوك وتفاصيل ملكية الشركات، لزيادة مصداقيتها.

اعتمدت الموجات السابقة من حملة "نودلوفيل" ، التي كُشف عنها في مايو 2025، على أدوات زائفة مدعومة بالذكاء الاصطناعي، رُوّج لها عبر منصات التواصل الاجتماعي مثل فيسبوك. أما الآن، فيُمثّل التحوّل إلى الإغراءات المتعلقة بحقوق الطبع والنشر فصلاً جديداً في تطورها. والجدير بالذكر أن استراتيجيات مماثلة قد رُصدت من قبل: ففي نوفمبر 2024، استخدمت حملة تصيد احتيالي واسعة النطاق ادعاءات زائفة بانتهاك حقوق الطبع والنشر لنشر "سارق الرادامانثيس".

تشريح سلسلة الهجوم

تبدأ العملية الحالية برسائل تصيد احتيالي صادرة من Gmail، مصممة لتجاوز الشكوك مع إضفاء طابع الاستعجال على انتهاكات حقوق النشر المزعومة. داخل الرسالة، يُرسل رابط Dropbox ملف ZIP أو MSI. بمجرد تشغيل هذا المثبت، يُحمّل ملف DLL ضارًا من خلال ثنائيات Haihaisoft PDF Reader شرعية. قبل تشغيل برنامج Noodlophile، تُستخدم نصوص برمجية مجمعة لإنشاء استمرارية عن طريق تعديل إدخالات سجل Windows.

من التقنيات المراوغة للغاية أوصاف مجموعات تيليجرام، التي تعمل بمثابة "محلل نقطة الوصول" لتوجيه الضحايا إلى خادم الحمولة الفعلي المُستضاف على paste.rs. تُعقّد هذه الطريقة جهود الكشف والإزالة، مع تمكين تسليم الحمولة الديناميكي.

تطور تكتيكات التهرب

بناءً على الحملات السابقة التي استفادت من أرشيفات Base64 المشفرة وLOLBins مثل certutil.exe، يضيف الإصدار الحالي:

• قنوات القيادة والتحكم القائمة على Telegram
• تقنيات التنفيذ في الذاكرة للتهرب من الكشف المستند إلى القرص

وتظهر هذه الابتكارات اتجاها ثابتا نحو آليات التهرب الأكثر تطورا، مما يجعل الدفاعات التقليدية أقل فعالية.

قدرات نودلوفيلي

نودلوفيلي ليس مجرد سارق، بل هو أداة متطورة باستمرار، مصممة لاستخراج مجموعة واسعة من البيانات الحساسة. تُظهر التحليلات الحالية قدرته على:

• استخراج بيانات المتصفح ومعلومات النظام.
• احصد تفاصيل وسائل التواصل الاجتماعي المتعلقة بالمؤسسة، وخاصة من فيسبوك.

يكشف تحليل الكود الجاري أن المطورين يعملون على توسيع وظائفه. تشمل الميزات المخطط لها التقاط لقطات الشاشة، وتسجيل ضغطات المفاتيح، واستخراج الملفات، ومراقبة العمليات، واستطلاع الشبكة، وتشفير الملفات، واستخراج سجل المتصفح بالتفصيل.

مخاطر المؤسسة المتزايدة

يُسلّط تركيز الحملة على بيانات المتصفحات ووسائل التواصل الاجتماعي الضوء على استراتيجية مُتعمّدة: اختراق الشركات ذات الحضور القوي على الإنترنت. مع تطوير وظائف جديدة، قد يتطور Noodlophile ليصبح تهديدًا أكثر تنوعًا وخطورة، يجمع بين التجسس وسرقة بيانات الاعتماد، وربما حتى قدرات تُشبه برامج الفدية في المستقبل.