كريبتو كليبر، كشفت مايكروسوفت عن برمجية خبيثة جديدة ذاتية الانتشار تستهدف الأجهزة المصابة عبر وحدات التخزين المحمولة، وتعمل على سرقة بيانات محافظ العملات المشفرة وعبارات الاستعادة السرية، قبل إرسالها إلى خوادم يديرها المهاجمون عبر تقنيات إخفاء معقدة يصعب تتبعها.
كيف تعمل البرمجية داخل الأجهزة المصابة
أوضحت الشركة أن هذه البرمجية تراقب محتوى الحافظة في الجهاز، وتبحث تحديداً عن عناوين محافظ العملات الرقمية أو عبارات الاستعادة المكوّنة عادة من 12 أو 24 كلمة، وعند العثور على أي من هذه البيانات، تبدأ بجمع المعلومات الحساسة بطريقة منظمة، ثم تلتقط خمس صور للشاشة خلال عشر ثوانٍ، وترسل كل ما تجمعه إلى المهاجمين عبر شبكة تور، ما يمنحها قدرة عالية على التخفي والاستمرار في العمل دون لفت الانتباه.
أسلوب انتشار مختلف عبر USB
اعتمدت البرمجية على أسلوب انتشار مباشر عبر وحدات التخزين المحمولة، إذ رُصدت وهي تستخدم ملفات اختصار تحمل امتداد إل إن كيه داخل وحدات USB، وعند توصيل الوحدة بجهاز جديد، تتحقق أولاً مما إذا كانت موجودة مسبقاً على الجهاز، وإذا لم تجدها، تقوم بتنزيل مكوناتها عبر شبكة تور، وهو ما يجعل عملية الانتشار أكثر مرونة وصعوبة في الاكتشاف.
كيف تخفي آثارها
تلجأ البرمجية إلى إنشاء ملفات اختصار بأسماء مشابهة للملفات الأصلية الموجودة على وحدة التخزين المصابة، وبذلك يبدو للمستخدم أن الملفات طبيعية، بينما تكون في الحقيقة جزءاً من آلية الانتشار، وهذا السلوك يزيد من فرص انتقالها من جهاز إلى آخر من دون ملاحظة واضحة.
باب خلفي خفيف وخطير
ذكرت مايكروسوفت أن البرمجية لا تعتمد على أساليب التثبيت التقليدية، كما أنها لا تستخدم بنية تحكم عادية قائمة على عناوين إنترنت مباشرة، بل تستعين بنسخة محمولة من برنامج تور، وتوجه الاتصالات عبر خادم وكيل محلي من نوع سوكس 5، الأمر الذي يصعّب عملية تعقبها ومراقبة نشاطها، ويجعلها أقرب إلى باب خلفي خفيف يتيح للمهاجمين تنفيذ أوامر عن بُعد إلى جانب سرقة البيانات المالية.
استبدال عناوين المحافظ الرقمية
لا تتوقف خطورة كريبتو كليبر عند سرقة المعلومات، بل تتجاوز ذلك إلى استبدال عناوين المحافظ التي ينسخها المستخدم بعناوين أخرى تعود للمهاجمين، وبهذه الطريقة قد تنتقل الأموال إلى محافظ القراصنة من دون أن يلاحظ الضحية أي تغيير، وهي آلية احتيالية تعتمد على لحظة النسخ واللصق التي يستخدمها كثير من المتعاملين مع العملات المشفرة.
دور لقطات الشاشة
ترجح مايكروسوفت أن الصور الخمس التي تُلتقط خلال عشر ثوانٍ تُستخدم لتوفير سياق إضافي يساعد المهاجمين على فهم طبيعة البيانات المسروقة، أو استغلالها بشكل أفضل، كما أنها قد تمنحهم صورة أوضح عن نشاط المستخدم والبيئة الرقمية التي يعمل عليها.
مؤشرات الإصابة التي رصدتها مايكروسوفت
حددت الشركة عدداً من العلامات التي قد تكشف وجود البرمجية على الجهاز، وأكدت أن برنامج مايكروسوفت ديفندر يتعرف عليها تحت اسم تروجان: وين 32 / كريبتو بانديتس إيه، كما لفتت إلى أن من أبرز المؤشرات تشغيل نصوص برمجية مشبوهة، أو استخدام المنفذ المحلي 9050 المرتبط بشبكة تور، أو تنفيذ أوامر لالتقاط صور الشاشة، أو مراقبة الحافظة واستبدال عناوين العملات المشفرة.
- التعرف الأمني: يظهر في مايكروسوفت ديفندر تحت اسم تروجان: وين 32 / كريبتو بانديتس إيه.
- الانتشار الأولي: يتم عبر ملفات اختصار إل إن كيه داخل وحدات USB.
- التحكم والاتصال: يعتمد على شبكة تور مع خادم وكيل محلي من نوع سوكس 5.
- السلوك الضار: يشمل مراقبة الحافظة، واستبدال عناوين المحافظ، والتقاط صور للشاشة.
لماذا تعد هذه البرمجية مقلقة؟
توضح مايكروسوفت أن هذه الفئة من البرمجيات الخبيثة تثبت أن الأدوات الصغيرة المبنية على نصوص برمجية بسيطة قد تتحول إلى تهديد مؤثر عندما تُدمج مع تقنيات إخفاء الهوية والتحكم عن بُعد، خاصة إذا استهدفت أصولاً رقمية حساسة مثل محافظ العملات المشفرة وعبارات الاستعادة السرية، وهو ما يجعل الحذر من وحدات التخزين غير الموثوقة ومتابعة مؤشرات الإصابة خطوة ضرورية لحماية المستخدمين، وفق ما نقلته بوابة مصر.
