جوجل
#أمن_سيبراني
#GoogleGroups
تحذير: حملة خبيثة عبر مجموعات جوجل تسرق البيانات
كشفت شركة CTM360 في تقرير أمني جديد عن حملة برمجيات خبيثة نشطة تستغل النظام البيئي الموثوق لشركة جوجل، حيث تم رصد أكثر من 4000 مجموعة خبيثة ضمن مجموعات جوجل (Google Groups) و3500 رابط مستضاف على خوادم الشركة يُستخدم لاستهداف المؤسسات عالمياً.
آلية الهجوم والهندسة الاجتماعية
يعتمد المهاجمون على تقنيات الهندسة الاجتماعية لخداع الضحايا، حيث يتسللون إلى المنتديات التقنية وينشرون مناقشات تبدو شرعية حول مشاكل الشبكات أو أخطاء المصادقة. تتضمن هذه المنشورات روابط تحميل ملغومة تحت عناوين مثل "تحميل {اسم_المؤسسة} لنظام ويندوز 10".
ولتجاوز أنظمة الحماية، يستخدم المهاجمون روابط مختصرة أو عمليات إعادة توجيه عبر مستندات جوجل (Docs) وجوجل درايف (Drive)، مما يسمح للبرمجية الخبيثة بتحديد نظام تشغيل الضحية وتوجيه الهجوم المناسب سواء كان ويندوز أو لينكس.
استهداف ويندوز: برمجية Lumma Stealer
بالنسبة لمستخدمي ويندوز، تقوم الحملة بتوصيل أرشيف مضغوط محمي بكلمة مرور. وللتحايل على برامج مكافحة الفيروسات، قام المهاجمون بتضخيم حجم الملف المفكك ليصل إلى حوالي 950 ميجابايت باستخدام "بايتات فارغة" (Null Bytes)، بينما الحجم الفعلي للبرمجية الخبيثة لا يتجاوز 33 ميجابايت.
بمجرد التشغيل، تعمل البرمجية التي تم تحديدها على أنها Lumma Stealer على تجميع الملفات الثنائية وتنفيذ تعليمات برمجية تهدف إلى:
- سرقة بيانات الاعتماد من المتصفحات.
- جمع ملفات تعريف الارتباط (Cookies) للجلسات.
- تنفيذ أوامر عبر واجهة الأوامر (Shell).
- إرسال البيانات المسروقة إلى خوادم القيادة والتحكم (C2).
استهداف لينكس: متصفح Ninja المزيف
أما مستخدمو لينكس، فيتم توجيههم لتحميل متصفح مبني على مشروع كروميوم يُدعى "Ninja Browser"، والذي يسوق نفسه كمتصفح يركز على الخصوصية. إلا أن تحليل CTM360 أظهر أنه يقوم بتثبيت إضافات خبيثة بصمت دون موافقة المستخدم.
تقوم الإضافة المدمجة "NinjaBrowserMonetisation" بتتبع المستخدمين، حقن نصوص برمجية في جلسات الويب، والتلاعب بعلامات التبويب. كما لاحظ الباحثون أن المتصفح يعتمد افتراضياً على محرك بحث روسي يُدعى "X-Finder" ويقوم بإنشاء مهام مجدولة لضمان بقاء البرمجية الخبيثة نشطة على الجهاز وتحديثها تلقائياً.
توصيات للحماية
تنصح CTM360 المؤسسات والمستخدمين بضرورة فحص الروابط المختصرة وسلاسل إعادة التوجيه في مستندات جوجل، وحظر مؤشرات الاختراق (IoCs) المعروفة، بالإضافة إلى توعية المستخدمين بعدم تحميل البرمجيات من المنتديات العامة دون التحقق من مصدرها الرسمي.
الأسئلة الشائعة
هي حملة عالمية تستغل أكثر من 4000 مجموعة في Google Groups لنشر برمجيات خبيثة تسرق البيانات وتستهدف المؤسسات.
يتم استهدافهم عبر برمجية Lumma Stealer المخبأة في ملفات مضغوطة ضخمة الحجم لتجاوز برامج الحماية وسرقة كلمات المرور.
هو متصفح مزيف يقوم بتثبيت إضافات خبيثة بصمت لتتبع المستخدمين وسرقة بياناتهم وضمان بقاء الاختراق نشطاً.
التعليقات 0
سجل دخولك لإضافة تعليق
لا توجد تعليقات بعد. كن أول من يعلق!