البرامج الضارة للوكيل طروادة
تم تحديد مواقع الويب المارقة التي تعمل كمنصات للبرامج المقرصنة باعتبارها المصدر الرئيسي للتطبيقات المصابة بأحصنة طروادة والتي تصيب مستخدمي macOS ببرامج ضارة جديدة من نوع Trojan-Proxy. تتيح هذه البرامج الضارة للمهاجمين تحقيق إيرادات عن طريق إنشاء شبكة من الخوادم الوكيلة أو الانخراط في أنشطة غير مشروعة نيابة عن الضحية. قد تشمل هذه الأنشطة شن هجمات على مواقع الويب والشركات والأفراد، بالإضافة إلى شراء الأسلحة النارية والمخدرات وغيرها من العناصر غير القانونية.
اكتشف خبراء الأمن السيبراني أدلة تشير إلى أن هذه البرامج الضارة تشكل تهديدًا عبر الأنظمة الأساسية. تم إثبات ذلك من خلال القطع الأثرية التي تم اكتشافها لكل من أنظمة Windows وAndroid، والتي كانت مرتبطة بأدوات مقرصنة.
جدول المحتويات
برنامج Trojan-Proxy الضار قادر على إصابة أجهزة macOS
انتشرت إصدارات macOS الخاصة بالحملة من خلال التنكر كأدوات وسائط متعددة وتحرير الصور واستعادة البيانات والإنتاجية. يشير هذا إلى أن الأفراد الذين يبحثون عن البرامج المقرصنة يصبحون النقطة المحورية للهجوم. على عكس نظيراتها الأصلية، التي يتم توزيعها كملفات صورة القرص (.DMG)، يتم توفير الإصدارات المزيفة كمثبتات .PKG. تتضمن أدوات التثبيت هذه برنامجًا نصيًا لما بعد التثبيت يقوم بتشغيل أنشطة ضارة بعد عملية التثبيت. نظرًا لأن المثبتين يطلبون عادةً أذونات المسؤول، فإن البرنامج النصي الذي يتم تنفيذه يرث هذه الأذونات.
الهدف النهائي للحملة هو إطلاق العنان لـ Trojan-Proxy، الذي يتنكر في صورة عملية WindowServer على نظام التشغيل macOS لتفادي اكتشافه. يعمل WindowServer كعملية نظام أساسية مسؤولة عن إدارة Windows وتقديم واجهة المستخدم الرسومية (GUI) للتطبيقات.
Trojan-Proxy ينتظر خلسة للحصول على تعليمات من المهاجمين
عند التنفيذ على الجهاز المخترق، تسعى البرامج الضارة إلى الحصول على عنوان IP الخاص بخادم القيادة والتحكم (C2) للاتصال عبر DNS-over-HTTPS (DoH). يتم تحقيق ذلك عن طريق تشفير طلبات DNS والاستجابات باستخدام بروتوكول HTTPS.
وبعد ذلك، يقوم Trojan-Proxy بإنشاء اتصال مع خادم C2، في انتظار المزيد من التعليمات. يقوم بمعالجة الرسائل الواردة لاستخراج المعلومات مثل عنوان IP للاتصال به والبروتوكول المراد استخدامه والرسالة المراد إرسالها. وهذا يدل على قدرته على العمل كوكيل من خلال TCP أو UDP، وإعادة توجيه حركة المرور عبر المضيف المصاب.
وفقًا للمعلومات التي قدمها الباحثون، يمكن إرجاع برنامج Trojan-Proxy الضار إلى وقت مبكر من 28 أبريل 2023. ولمواجهة مثل هذه التهديدات، يُنصح المستخدمون بشدة بمحاولة عدم تنزيل البرامج من مصادر غير موثوقة.
يمكن برمجة تهديدات طروادة لتنفيذ مجموعة واسعة من الإجراءات غير الآمنة
تشكل برامج طروادة الضارة مجموعة متنوعة من المخاطر للمستخدمين نظرًا لطبيعتها الخادعة والمتعددة الأوجه. يُنصح المستخدمون بشدة بتنفيذ نهج أمني شامل على أجهزتهم أو المخاطرة بالمعاناة من عواقب وخيمة في حالة الإصابة بفيروس طروادة:
- الحمولات المخفية : تتنكر أحصنة طروادة في شكل برامج أو ملفات شرعية، وتخدع المستخدمين لتثبيت تعليمات برمجية ضارة عن غير قصد. قد تتضمن الحمولات المخفية برامج الفدية أو برامج التجسس أو برامج تسجيل المفاتيح أو أنواع أخرى من البرامج المدمرة.
- سرقة البيانات : تهدف أحصنة طروادة غالبًا إلى جمع معلومات معينة، بما في ذلك بيانات اعتماد تسجيل الدخول أو البيانات المالية أو التفاصيل الشخصية. يمكن استغلال هذه المعلومات المجمعة لأغراض مختلفة غير آمنة، بما في ذلك سرقة الهوية أو الاحتيال المالي أو الوصول غير المصرح به إلى الحسابات الحساسة.
- الوصول عن بعد : تم تصميم بعض أحصنة طروادة لمنح المهاجم إمكانية الوصول عن بعد غير المصرح به. بمجرد نشر حصان طروادة، يكتسب المهاجم السيطرة على النظام المصاب، مما يسمح له بالتلاعب بالملفات، أو تثبيت برامج ضارة إضافية، أو حتى استخدام الجهاز المخترق في هجمات واسعة النطاق.
- تشكيل الروبوتات : يمكن أن تساهم أحصنة طروادة في إنشاء شبكات الروبوت. شبكات الروبوت هي شبكات من أجهزة الكمبيوتر التي تم العبث بها والتي يتحكم فيها كيان واحد. يمكن استخدام شبكات الروبوت هذه في العديد من الأنشطة غير الآمنة، مثل شن هجمات رفض الخدمة الموزعة (DDoS)، أو نشر البريد العشوائي، أو المشاركة في تهديدات إلكترونية منسقة أخرى.
- تلف النظام : قد تتم برمجة أحصنة طروادة لإحداث ضرر مباشر لنظام المستخدم عن طريق حذف الملفات أو تعديل الإعدادات أو جعل النظام غير صالح للعمل. يمكن أن يؤدي ذلك إلى فقدان كبير للبيانات وتعطيل أنشطة الحوسبة العادية.
- خدمات الوكيل : تعمل بعض أحصنة طروادة كخوادم وكيلة، مما يمكّن المهاجمين من توجيه حركة المرور على الإنترنت من خلال النظام المصاب. ويمكن استغلال ذلك للقيام بأنشطة ضارة مع إخفاء المصدر الحقيقي للهجمات، مما يجعل من الصعب على السلطات تتبع المصدر.
- نشر البرامج الضارة الأخرى : غالبًا ما تعمل أحصنة طروادة كوسيلة لتوصيل أنواع أخرى من البرامج الضارة. وبمجرد دخولهم إلى النظام، يمكنهم تنزيل وتثبيت برامج ضارة إضافية، مما يؤدي إلى تفاقم التهديدات التي يواجهها المستخدم.
للتخفيف من المخاطر المرتبطة ببرمجيات طروادة الضارة، يُنصح المستخدمون بتوظيف ممارسات الأمن السيبراني القوية، بما في ذلك استخدام برامج مكافحة البرامج الضارة ذات السمعة الطيبة، وتحديثات النظام المنتظمة، وتوخي الحذر عند تنزيل الملفات أو النقر على الروابط، خاصة من مصادر غير موثوقة.
