تواجه المنظومة الدولية للأمن السيبراني وحماية المعطيات فصلا جديدا من التهديدات التكنولوجية فائقة التعقيد، وتقود هذا المشهد التخريبي مجموعات قرصنة إلكترونية منظمة ومحترفة تنشط عبر نقاط مختلفة من العالم، وقد نجحت في تطوير ونشر جيل مستحدث من البرمجيات الخبيثة الموجهة لسرقة البيانات السيبرانية الحساسة، واختراق الحسابات المالية، والسطو على المحافظ الرقمية.
محمد لعرابي
تعتمد الشّبكات الإجرامية على توظيف البنية التحتية لمنصة التواصل الشهيرة «تيليغرام» من خلال تحويلها إلى قناة خلفية لإدارة العمليات وتوجيه البيانات المسروقة آليا، وهو ما يشكّل تحديا غير مسبوق لخبراء الدفاع الرقمي ومراكز الاستجابة للطوارئ المعلوماتية عبر العالم.
وأفاد تقرير تقني مشترك، صادر عن مؤسّستي «بيزلي سيكوريتي» و»سينتينل وان» المتخصّصتين في رصد التهديدات السيبرانية المتقدمة، بأن البرمجية الضارة المكتشفة، والتي أُطلق عليها اسم «بي إكس إي ستيلر» (PXA Stealer)، تمّ بناؤها وتطويرها بالكامل بالاعتماد على لغة البرمجة الديناميكية «بايثون»، وقد صمّمت بخصائص تقنية وهندسية تتيح لها التغلغل عميقا في أنظمة التشغيل، ما يمكّنها من الاستحواذ على كميات هائلة من المعطيات السرية والملفات الشخصية التابعة لضحاياها في مختلف دول العالم، وتكمن خطورة هذا الهجوم في اتساع رقعته الجغرافية؛ إذ تشير البيانات الإحصائية الموثقة إلى أن الحملة نجحت بالفعل في إصابة واختراق أزيد من 4,000 عنوان بروتوكول إنترنت (IP) فريد وموزع على 62 دولة عبر القارات الخمس.
السّياق التّاريخي وجذور التّهديد..
تعود الجذور الأولى لرصد هذا النشاط التخريبي إلى نوفمبر من عام 2024، عندما تمكّنت هيئة «سيسكو تالوس» العالمية لذكاء التهديدات، من كشف النقاب عن النسخ الأولية من الفيروس. في تلك المرحلة الجنينية، كانت العمليات الهجومية تركّز بشكل شبه كلي على استهداف البنى التحتية الحيوية التابعة للهيئات الحكومية الرسمية، إلى جانب المؤسسات القطاعية والتعليمية والأكاديمية في

قارتي أوروبا وآسيا، ومع ذلك، فإن الاستقرار البرمجي للفيروس لم يستمر طويلا على هذا النحو؛ إذ شهدت المنظومة البرمجية للفيروس مع حلول عام 2025 تحوّلا استراتيجيا وهيكليا بالغ الأهمية، تجسد في انتقالها من مجرد هجمات عشوائية معزولة إلى عملية إجرامية منظمة، مهيكلة، وشديدة التعقيد.
لقد أفرز هذا التّحول التكتيكي اعتماد القراصنة على أساليب تكنولوجية متقدمة في خداع جدران الحماية، والاعتماد الواسع على تقنيات التمويه البرمجي المتمثلة في التحميل الجانبي لملفات الارتباط الديناميكي (DLL side-loading)، وتسمح هذه التقنية للفيروس باستغلال ثقة نظام التشغيل في البرامج الشرعية الموقّعة رقميا، لتمرير شيفرات خبيثة وتطبيق طبقات متعدّدة من التعمية (Obfuscation) التي صمّمت بعناية فائقة لتضليل آليات الفحص السلوكي، وحجب الأنشطة المشبوهة عن برمجيات مكافحة الفيروسات، ما منح المهاجمين فترة زمنية أطول للتحرك داخل الشبكات المخترقة دون ترك آثار رقمية واضحة.
آليات اختراق المتصفّحات
تكمن القوة التدميرية لبرمجية «PXA Stealer» في قدرتها التشغيلية الموسّعة على استهداف وجرف البيانات من قرابة 40 متصفحا مختلفا من متصفحات الإنترنت، ويشمل هذا الاستهداف الواسع كافة البرامج المبنية على محرّكي التشغيل الشهيرين عالميا «كروميوم» و»جيكو»، وتعتمد الآلية التنفيذية للفيروس على عملية اختراق مباشرة للذاكرة العشوائية الخاصة بالنظام، حيث يقوم بحقن ملفات «DLL» معدلة وخبيثة داخل العمليات النشطة واليومية للمتصفحات، بما في ذلك متصفح «غوغل كروم» الأكثر انتشارا.
وفي خطوة تقنية متقدّمة، يستهدف الفيروس بشكل مباشر كسر منظومة الحماية والتعمية المحلية المعروفة بـ (App-Bound Key)، وهي الآلية المعتمدة في المتصفحات الحديثة لتأمين وحفظ بيانات المستخدمين، ومن خلال تقويض هذا التشفير المدمج، تصبح كافة البيانات المخزنة مكشوفة تماما للمستعرض الخبيث، ولا تقف الأضرار عند هذا الحد، فهي تزحف على القطاع المالي الرقمي، حيث يتضمن كود الفيروس امتدادات برمجية قادرة على استهداف واختراق أزيد من 30 امتدادا مخصصا لمحفظة العملات المشفرة.
وقد أسفرت هذه الهندسة الهجومية الشاملة، وفقا للتقارير الأمنية، عن حصيلة خسائر رقمية فادحة شملت استخراج والاصطياد الإلكتروني لما يلي:
– سرقة واختطاف ما يفوق 200 ألف كلمة مرور فريدة ومحفوظة من قبل المستخدمين.
– الاستيلاء على مئات الحسابات والبيانات الحسّاسة الخاصة بالبطاقات الائتمانية والبنكية.
– قرصنة وسحب أزيد من 4 ملايين ملف من ملفات تعريف الارتباط (Cookies) الخاصة بجلسات التصفح. وتتيح هذه الملفات الأخيرة للمهاجمين تجاوز آليات التحقق الثنائي وانتحال صفة الضحية لولوج حساباته مباشرة دون الحاجة لإعادة إدخال كلمات المرور.
الجريمة السيبرانية.. توظيف «تيليغرام»
إنّ الميزة الجوهرية التي تمنح برمجية «PXA Stealer» هويتها الخاصة وطابعها الخطير، هي الطريقة التي تدير بها البيانات المستولى عليها؛ فالعملية لا تقتصر على مجرد تحميل البيانات وحفظها في خوادم تقليدية يمكن تتبعها وإغلاقها من قبل السلطات الأمنية، إذ يتم – بدلا من ذلك – تحويل الهواتف والأجهزة المخترقة إلى نقاط بث، تقوم برفع وتوجيه البيانات الحسّاسة والمعلومات المستخرجة، مثل بيانات الملء التلقائي ومعلومات تسجيل الدخول، بشكل تلقائي وفوري صوب قنوات ومجموعات مخصصة ومحمية على تطبيق «تيليغرام»، وتتم هذه العملية بالاعتماد الكامل على شبكات معقدة من الروبوتات البرمجية والأزرار الآلية (Automated Bots).
وتتحول هذه القنوات على تطبيق «تيليغرام» إلى مغذٍ رئيسي ومستمر لأسواق الجريمة الإلكترونية المنظمة المظلمة (Cybercriminal Marketplaces). وفي هذه المنصات الرقمية السرية، يتم عرض البيانات المقرصنة للبيع كحزم جاهزة؛ حيث يمكن لعصابات سيبرانية أو أفراد آخرين شراء حقوق الولوج غير المصرح به، وتوظيفها من جديد في سرقة محفظات العملات الرقمية المشفرة، أو الحصول على منافذ غير قانونية لولوج شبكات مؤسسات مالية وحكومية ضخمة لتنفيذ عمليات ابتزاز، طلب فدية، أو تخريب رقمي إضافي، ويبرز هذا التدوير المستمر للبيانات، كيف تحولت الجريمة السيبرانية من هواية تخريبية فردية إلى اقتصاد رقمي متكامل ومربح، يعتمد على تقسيم العمل والخدمات اللوجستية المشتركة.
استغلال أدوات النّظام الشّرعية..
وفي إطار سعي المهاجمين الدؤوب لتفادي أنظمة الكشف القائمة على التوقيعات الرقمية، يكشف التحليل الفني لأسلوب عمل الفيروس عن استخدام ذكي ومكثف للأدوات المدمجة سلفا في نظام التشغيل «ويندوز»، وهو الأسلوب المعروف في الأوساط الأمنية بـ «العيش على الأرض» (Living off the Land). ويبرز – في هذا الصدد – استغلال القراصنة للأمر التنفيذي الشرعي الخاص بالنظام والموسوم بـ «certutil –decode».
في الأحوال العادية والشرعية، تُستخدم هذه الأداة من قبل مديري الأنظمة لتشفير ومطابقة الشهادات الرقمية، وفك ترميز البيانات المصنفة بصيغة (Base64) لإعادتها إلى تنسيقها الثنائي الأصلي، وتستغل مجموعات القرصنة هذه الخاصية بطريقة عكسية تضليلية؛ حيث يفترض السيناريو قيام المهاجمين بإخفاء أرشيف برمجي كامل ومضغوط يحتوي على الكود الخبيث، ودمجه داخل ملف يبدو في ظاهره عاديا، غير ضار، ومألوفا للغاية للمستخدمين ولأنظمة المراقبة مثل وثيقة «PDF» مجهزة بصيغة النص (Base64).
وعند مراجعة هذا الملف من قبل جدران الحماية، فإنه يُصنف كملف نصي غير قابل للتنفيذ وغير قادر على إلحاق أي ضرر مباشر بالنظام. غير أنه بمجرد تفعيل الهجوم، يتم استدعاء الأمر المذكور عبر سطر برمجي لا يتعدى في طوله ست كلمات.
وعند تشغيل هذا الأمر، يقوم النظام ذاتيا وبشكل تلقائي بتحويل المحتوى النصي المستتر داخل وثيقة الـ «PDF» من ترميز (Base64)، وإعادته فورا إلى صيغته وهيكله الأصلي، ما يؤدي إلى إعادة إنتاج وبناء الأرشيف المضغوط الخبيث الحامل لاسم (file_xrt.rar) في ثوانٍ معدودة، ليصبح جاهزا للفتح والتنفيذ داخل بيئة العمل المحلية، وتسمح هذه التقنية الفائقة بتقديم الحمولات والبرمجيات الضارة الموجهة للسرقة (Payloads)، وهي نائمة ومخفية تماما داخل عباءة مستندات ووثائق رقمية تبدو خالية من أي شبهة أو سلوك عدائي.
تحليل سيناريوهات الاختراق المزدوج
ولضمان تحقيق أعلى معدلات النجاح والتغلغل في الأنظمة المستهدفة، لم تكتفِ المجموعات المطورة لبرمجية «PXA Stealer» بأسلوب هجومي واحد، بل اعتمدت على مسارين وسيناريوهين متميزين لتنفيذ الهجمات الرقمية وإحكام القبضة على الأجهزة المستهدفة.
تقنية الهندسة الاجتماعية والبرمجيات المتزامنة
يرتكز هذا المسار – في مقامه الأول – على حملات التصيد الاحتيالي الموجه عبر البريد الإلكتروني (Spear Phishing)، حيث يتم صياغة وإرسال رسائل بريدية إلكترونية مخصصة بعناية فائقة، وتتضمن حثا وإغراء للضحايا المستهدفين بضرورة تحميل وقراءة أرشيف رقمي مرفق، ويحتوي هذا المرفق المضغوط على برنامج حقيقي وشرعي لقراءة المستندات يُعرف باسم (Haihaisoft PDF Reader)، وهو برنامج شهير يتميز بخفة حجمه وسرعته في الأداء، مصمم حصريا لتقديم الوظائف الأساسية والمباشرة لاستعراض وثائق الـ «PDF».
ومع ذلك، فإن الفخ يكمن في قيام القراصنة بدمج ملف ارتباط ديناميكي معدل وضار (Altered DLL) إلى جانب القارئ الشرعي، حيث يمتلك هذا الملف القدرة على التسلل والتسجيل في سجل نظام التشغيل «ويندوز» (Windows Registry) لضمان الاستمرارية والدوام والمقاومة ضد عمليات الحذف أو إيقاف التشغيل، ويتم استخدام ملف الـ «DLL» هذا بطرق برمجية بالغة الذكاء، ليعمل كأداة تنزيل عن بعد (Downloader)، حيث يقوم بالاتصال بالإنترنت وسحب ملفات تنفيذية خبيثة أخرى، مستغلا حسابات ومساحات تخزينية على منصة التخزين السحابي الشهيرة «Dropbox» باعتبارها منصة استضافة موثوقة لا يتم حظر حزمها الصادرة والواردة من قبل جدران حماية الشبكات.
وقد رصد المحلّلون وخبراء الأمن السيبراني في هذا السيناريو ظاهرة بالغة الخطورة، تتمثل في النشاط المتزامن والمشترك لأكثر من برمجية خبيثة مخصصة لسرقة البيانات تعمل بتكامل تام لتعظيم الأثر التدميري للهجوم. وتشمل هذه الحزمة الخبيثة:
1. برمجية «لوما سي 2» (LumacC2): وهي واحدة من أشهر وأقوى برمجيات سرقة المعلومات (Infostealers) المصممة خصيصا لاقتناص وسحب البيانات الحساسة للمستخدمين من الذاكرة الحية.
2. برمجية «رادامانثيس ستيلر» (Rhadamanthys Stealer): وهو فيروس سرقة معلومات أقل حظا من حيث التوثيق العلني والانتشار الإعلامي مقارنة بـ «LummaC2»، ولكنه مجهز بذات القدرات التشغيلية والخصائص التقنية الموجهة لاختطاف الهويات الرقمية وبيانات الاعتماد الحساسة من بيئات تشغيل نظام «ويندوز».
ويتم توظيف هذه البرمجيات بالتوازي لتعزيز فرص النجاح؛ حيث أكدت الفحوصات الجنائية الرقمية أن المهاجمين استعاضوا – بشكل واسع – عن استخدام الملفات التنفيذية الثنائية التقليدية المترجمة لنظام ويندوز، واعتمدوا بدلا منها على نصوص برمجية مرنة ومكتوبة بلغة «بايثون»، ما يمنح الفيروس قدرة أعلى على التعديل الفوري والمناورة وتغيير التوقيع البرمجي لتفادي الحلول الأمنية.
الاخــتراق الصّامــت عـــــبر مستنـــدات «وورد» الوهميـــة
في هذا المسار الثاني، ارتقى المهاجمون بمستوى التعقيد التقني خطوة إضافية نحو الأمام؛ إذ يعتمد الهجوم على إرسال مستندات تمويهية تفتقر في مظهرها وجوهرها الأولي لأي سلوك تخريبي أو عدائي مباشر كفيل بإثارة شكوك المستخدم، ويقوم هذا الأسلوب على استغلال برنامج حقيقي، رسمي، وموقع رقميا من شركة مايكروسوفت، وهو الملف التنفيذي التابع لبرنامج معالج النصوص «Microsoft Word 2013». وتستغل هذه الطريقة ثغرات التصميم البنيوي في كيفية تعامل نظام التشغيل مع ملفات الارتباط الديناميكي المرتبطة بالبرامج عند الإقلاع.
التّشريـــــح البرمجـــي لسلسلـــة العــــدوى المعقّــــدة
ولتفكيك الطريقة الفنية والخطوات الدقيقة التي يسلكها الفيروس لإحكام سيطرته على جهاز الضحية في هذا السيناريو المعقد، يمكن تقسيم سلسلة العدوى وتتبع خطواتها البرمجية المتسلسلة على النحو التالي:
تأتي البداية التمهيدية باستلام الضحية لرسالة بريد إلكتروني تحتوي على أرشيف مضغوط يتميز بحجمه الكبير نسبيا، ويضم هذا الأرشيف في طياته ملف تشغيل برنامج «وورد 2013» الشرعي والموثوق، إلى جانبه مباشرة ملف ارتباط ديناميكي خبيث ومعدل يحمل بدقة اسم الملف البرمجي الرسمي المعتاد لـ «ويندوز» وهو (msvcr100.dll). وبمجرد أن يقوم المستخدم بفتح وتشغيل ملف الوورد، يقع نظام التشغيل تلقائيا في فخ الثغرة البنيوية لآلية التحميل، وبدلا من الذهاب إلى المجلدات المحمية والرسمية للنظام لاستدعاء الملف البرمجي المطلوب، يقوم بتحميل وقراءة ملف الـ «DLL» الخبيث المتواجد في المجلد المحلي المباشر الذي يحتوي على الملف التنفيذي.
ويؤدي هذا التحميل الجانبي الخاطئ إلى إطلاق وتفعيل فوري للكود التخريبي الكامن في الملف، ولضمان التمويه وتفادي انتباه المستخدم لما يحدث في خلفية الجهاز، يعمد الفيروس فورا إلى عرض وثيقة مستند مزورة أمام الضحية، تتضمن – في الغالب – تحذيرا رسميا كاذبا يتعلق بانتهاك حقوق الطبع والنشر والتأليف. في هذه الأثناء التي ينشغل فيها المستخدم بمحاولة استيعاب هذا التحذير، تستمر السلسلة الحقيقية للاختراق في الكواليس؛ إذ يقوم الفيروس باستدعاء نسخة مصغرة ومخفية من برنامج ضغط الملفات «وينرار» (WinRAR)، والتي جرى تعميتها وتغيير امتدادها وشكلها الخارجي بعناية لتظهر في نظام التشغيل على أنها مجرد صورة رقمية بريئة بصيغة (PNG) ومحمية بكلمة مرور معقدة.
تقوم الأداة الخفية بفك ضغط المحتويات الداخلية واستخراج بيئة تشغيل ومترجم مستقل ومحمول للغة البرمجة «بايثون» (Portable Python Interpreter)، وهو المكون الحركي الأساسي الحامل للنصوص والسكربتات الخبيثة الحقيقية الموجهة لسرقة البيانات.
وفي خطوة بالغة الذكاء لضمان التخفي وعدم الظهور في مدير المهام (Task Manager)، يعمد الفيروس إلى تغيير اسم ملف تشغيل بيئة «بايثون» المستخرج ليصبح مطابقا تماما لاسم أحد أهم العمليات الأساسية والحيوية لنظام التشغيل ويندوز وهو (svchost.exe).
يتم زرع هذا الملف المزور ونقله مباشرة إلى أحد أدلة ومجلدات النظام العميقة والأقل إثارة للشبهات والشكوك، لتبدأ عملية تشغيله وتنفيذه الفعلي ليتلاشى ويندمج تماما وسط طابور العمليات الرسمية والشرعية التي يديرها الحاسوب، وتختتم هذه السلسلة المعقدة بتأمين الفيروس لقدرته على البقاء والدوام؛ حيث يقوم بكتابة وإنشاء مفتاح تشغيل تلقائي جديد (Auto-run Key) داخل مسجل النظام «الويندوز». وتضمن هذه الخطوة الأخيرة بقاء الفيروس متغلغلا وقادرا على تجديد نشاطه التخريبي، وإعادة تنفيذ الأكواد والسكربتات الخبيثة وجرف المعطيات وتوجيهها صوب قنوات «تيليغرام» بشكل تلقائي وصامت عقب كل عملية إقلاع أو إعادة تشغيل جديدة للحاسوب.

استنتاجـــــات أمنيــة

تكشف البنية الهندسية لبرمجية «PXA Stealer» وحملاتها المتلاحقة عن ملمح أساسي من ملامح الجيل الجديد للتهديدات السيبرانية المتقدمة، حيث لم يعد المهاجمون يعتمدون على قوة الأكواد الضارة المباشرة بقدر ما يرتكزون على استغلال الثقة البنيوية الممنوحة للبرمجيات الشرعية وأدوات الأنظمة الرسمية لتنفيذ مآربهم الإجرامية.
إن هذا التحول التكتيكي المتمثل في المزج المتقن بين الهندسة الاجتماعية الدقيقة، وتقنيات التحميل الجانبي (DLL Side-loading)، وتوظيف التطبيقات السحابية الموثوقة ومنصات التواصل اللامركزية كقنوات تسريب، يعري القصور الواضح في حلول الدفاع الرقمي التقليدية التي تكتفي بفحص التواقيع البرمجية للملفات.
ولمواجهة هذه الأنماط المتطورة من القرصنة، يتطلب الأمر من المؤسسات والأفراد تبني استراتيجيات دفاعية شاملة تقوم على مبدأ «انعدام الثقة المطلق» (Zero Trust)، وتفعيل حلول المراقبة السلوكية المتقدمة لنقاط النهاية (EDR) القادرة على رصد أي نشاط غير معتاد للعمليات الشرعية، مثل قيام برامج معالجة النصوص باستدعاء ملفات ارتباط من مجلدات محلية أو إجراء اتصالات شبكية غير مبررة.
ويبقى صون الأمن المعلوماتي رهينا بمدى سرعة تطور آليات الردع السيبراني، وقدرتها على استباق هذه الهندسة الهجومية المتكاملة لحماية سلامة وسيادة البيانات؛ إذ تواجه المنظومة العالمية للأمن السيبراني، في سياق التحولات التكنولوجية المتسارعة، تهديدا برمجيا بالغ الخطورة تقوده مجموعات قرصنة إلكترونية محترفة، عبر تطوير ونشر جيل جديد من الفيروسات الموجهة لسرقة البيانات الحساسة واختراق الحسابات المالية الرقمية بتوظيف منصة «تيليغرام» كقناة خلفية لإدارة العمليات، حسبما أفادت به تقارير أمنية وتقنية متطابقة.