برمجية خبيثة جديدة تستهدف بيانات المطورين عبر التورنت

تم اكتشاف برمجية خبيثة جديدة تُوزع عبر شبكات التورنت، تتنكر في شكل ملفات وسائط مثل حلقات مسلسل تلفزيوني. هذه البرمجية، التي تم تحديدها مؤخرًا، تتميز بطريقة توزيعها المضللة وتركيزها على سرقة مجموعة واسعة من البيانات الحساسة من المستخدمين، بمن فيهم المطورون والمصممون.

تظهر البرمجية كملف تنفيذي (EXE) بحجم كبير (حوالي 886 ميجابايت)، ولكن الجزء الفعلي القابل للتنفيذ لا يتجاوز 118 كيلوبايت. يستخدم المهاجمون هذا التكتيك لخداع أدوات الفحص، مما يجعلها تتجاهل الملف بسبب حجمه الهائل. لقد تمكن برنامج Sonarr من سحب هذا الملف، مما يدل على سهولة انتشار هذه الأنواع من التهديدات.

آلية عمل البرمجية الخبيثة

تعتمد البرمجية على تقنيات تعتيم معقدة لجعل تحليلها صعبًا. تستخدم عمليات XOR المتكررة وإخفاء المفاتيح، إضافة إلى آليات لمكافحة التصحيح (anti-debugging) ومكافحة بيئات الساند بوكس (anti-sandbox). إذا اكتشفت البرمجية أنها قيد التحليل، فإنها تخرج بصمت.

تتكون عملية التنفيذ من ست خطوات رئيسية: تفتح البرمجية ملفها الخاص، وتقرأ آخر 64 بايت لتحتوي على معلومات التكوين ومفتاح فك التشفير. تستخدم البرمجية تشفير ChaCha20 لفك حمولة مخفية ضمن البيانات العشوائية. بعد فك التشفير، تقوم البرمجية بتحميل الحمولة في الذاكرة وتنتقل إليها، دون لمس القرص.

الحمولة النهائية هي ملف تنفيذي آخر (PE) بحجم 929 كيلوبايت، مكتوب بلغة C++20. يستخدم هذا الجزء تقنيات معقدة أخرى مثل تشفير السلاسل النصية واستخدام AES-128-CTR مع S-box مخبأة بواسطة RC4 لفك تشفير البيانات الحساسة.

البيانات المستهدفة

تستهدف هذه البرمجية الخبيثة مجموعة واسعة جدًا من البيانات الحساسة، مما يجعلها تهديدًا خطيرًا للمستخدمين بشكل عام وللمطورين والمصممين بشكل خاص. تشمل هذه البيانات:

• بيانات المتصفحات: كلمات المرور، ملفات تعريف الارتباط، الملء التلقائي من Chrome, Edge, Brave, Opera, Vivaldi, Firefox، وحتى تجاوزات تشفير التطبيقات الجديدة في Chrome.
• المحافظ الرقمية: Exodus, Electrum, Atomic, Guarda, Coinomi, Ledger Live, Trezor Suite, Wasabi, Sparrow, Monero, Zcash, Armory والمحافظ الملحقة بالمتصفح.
• مديرو كلمات المرور: KeePass, KeePassXC, Bitwarden, 1Password, NordPass, RoboForm, و Windows Credential Manager.
• الحسابات ورموز الوصول: رموز Telegram, Discord, ملفات تعريف ارتباط Steam, Roblox, حسابات Minecraft, و Authy.
• أدوات المطورين: ملفات .ssh, .aws, .azure, gcloud, .kube, .docker التي تحتوي على بيانات الاعتماد.
• الوصول عن بعد: بيانات AnyDesk, TeamViewer, WinSCP, FileZilla, mRemoteNG, RDCMan.
• أخرى: بيانات Outlook, Thunderbird, إعدادات VPN, OBS, الملاحظات اللاصقة (Sticky Notes), والمستندات الموجودة على سطح المكتب.

بعد جمع البيانات، تقوم البرمجية بضغطها باستخدام مكتبة zlib المدمجة وترسلها إلى خادم يتحكم فيه المهاجمون. المثير للاهتمام أن عنوان الخادم يتم فك تشفيره ديناميكيًا من قناة YouTube ومقطع GitHub Gist، مع وجود عنوان احتياطي مدمج في الثنائي نفسه.

ماذا يعني هذا للمطورين وكيف نحمي أنفسنا؟

هذه البرمجية الخبيثة تبرز خطورة تنزيل الملفات من مصادر غير موثوقة، حتى لو كانت تبدو وكأنها ملفات وسائط عادية. استهدافها لأدوات المطورين مثل ملفات .ssh و .aws يجعلها تهديدًا مباشرًا للبيئات التطويرية، حيث يمكن أن يؤدي تسريب هذه البيانات إلى اختراق خوادم ومستودعات التعليمات البرمجية.

للحماية، نرى أنه من الضروري اتباع هذه الإجراءات الوقائية:

• في قِبِت تورنت (qBittorrent): أضف `*.exe, *.scr, *.lnk, *.bat, *.cmd` إلى قائمة «Excluded file names» لمنع تنزيل هذه الأنواع من الملفات تلقائيًا.
• في Sonarr / Radarr: عند اكتشاف ملف ضار، استخدم خاصية «blocklist» مع تحديد «Remove from client» لحذفه من قائمة التنزيلات ومنع إعادة تنزيله.
• في Prowlarr: إذا استمر متعقب معين في تقديم محتوى ضار، قلل من ترتيبه أو قم بإزالته تمامًا.

تذكر دائمًا، يجب توخي الحذر الشديد عند فتح أي ملفات تم تنزيلها، حتى لو بدت غير ضارة. إن الجهود الكبيرة التي يبذلها مهاجمون لإخفاء هذه البرمجيات الخبيثة تدل على تصميمهم على اختراق الأنظمة، مما يستدعي يقظة مستمرة من الجميع.

المصدر: thereallo.dev