El البرمجيات الخبيثة تحديثات وهميةالمعروف أيضا باسم سوكغوليش, لقد أصبح أحد التهديدات الأكثر استمرارا في إسبانيا. والعالم. منذ ظهوره في عام 2017، تطور باستمرار لتجاوز دفاعات الأمن وتسهيل أخطر الهجمات مثل برامج الفدية. تعتمد طريقة عملها على الخداع، مستغلة ثغرات أمنية في مواقع الويب الشرعية لخداع المستخدمين وحملهم على تنزيل برامج ضارة. تعرف على كل شيء عنها. FakeUpdates: هكذا تعمل البرامج الضارة الأكثر انتشارًا في إسبانيا ولماذا تُعتبر واحدة من أهم الحملات في المشهد الحالي للأمن السيبراني.
في الآونة الأخيرة، أشارت تحقيقات مختلفة إلى أن لا يقتصر تأثير FakeUpdates على إصابة الأجهزة فقط، لكنه يعمل كـ الباب الأمامي لأنواع أخرى من البرامج الضارة، بل وأكثر خطورة. هذا برنامج تنزيل قائم على جافا سكريبت كان وراء العديد من الهجمات، بمثابة وسيلة لنقل برامج الفدية وأحصنة طروادة مما يُعرّض أمن الشركات والمستخدمين الأفراد للخطر. تُشير تقارير شركات الأمن المتخصصة إلى أن برنامج FakeUpdates يحتل باستمرار مرتبة متقدمة في مؤشرات التهديدات العالمية والمحلية، مع تأثير ملحوظ بشكل خاص على... المنظمات الإسبانية.
ما هو FakeUpdates وكيف يعمل؟
FakeUpdates هو برنامج ضار يتظاهر بأنه تحديث برنامج شرعي أو مكون إضافي للمتصفح لخداع المستخدمين لتنزيله وتثبيته. وقد تم اكتشافه بشكل رئيسي في المواقع المخترقةحيث يقوم المهاجمون بحقن التعليمات البرمجية الضارة عبر نقاط الضعف في أنظمة إدارة المحتوى مثل WordPress وغيرها من أنظمة إدارة المحتوى الشائعة.
عندما يقوم المستخدم بزيارة موقع ويب مخترق، تظهر لك رسالة مزيفة تشير إلى الحاجة إلى التحديث متصفحك، أو نظام التشغيل الخاص بك، أو بعض الإضافات التي تبدو ضرورية. غالبًا ما تحاكي هذه الرسالة تصميم المتصفحات المعروفة أو من موردي البرامج المشهورين لاكتساب المصداقية، والاستفادة من تقنيات الهندسة الاجتماعية مصقول للغاية.
إذا اتبع الضحية التحذير وقام بتنزيل التحديث المزعوم، يتم تشغيل FakeUpdates على النظامالسماح بتنزيل أنواع أخرى من البرامج الضارة مثل برامج التجسس التي تتيح الوصول عن بُعد (RATs). الفديةبرامج خبيثة مصرفية أو أدوات تحكم عن بعد. برنامج التنزيل يكتب حمولات خبيثة على القرص قبل إطلاقها، مما يسهل نشر تهديدات إضافية وإنشاء أبواب خلفية مستمرة في الفريق.
وثّق الباحثون حملات تتضمن عملية العدوى مراحل مختلفةبدءًا من كود جافا سكريبت المضمن في الموقع الإلكتروني المخترق، مرورًا بالبرامج النصية المبهمة، وصولًا إلى الملفات التنفيذية المحقونة في عمليات ويندوز المشروعة (على سبيل المثال، عمليات النظام أو أدوات الإدارة) لزيادة التخفي وجعل اكتشافها بواسطة حلول الأمان التقليدية أكثر صعوبة.
أحد الجوانب الرئيسية لـ FakeUpdates هو أن إنه لا يمثل تهديداً معزولاً.ولكن كمرحلة أولى ضمن سلسلة هجوم متعددة المراحليسمح هذا النهج للمهاجمين بتخصيص الحمولة النهائية وفقًا للهدف: سرقة بيانات الاعتماد، أو اختطاف البيانات، أو التجسس المطول، أو نشر برامج الفدية للابتزاز المزدوج.
FakeUpdates كوسيلة لهجمات برامج الفدية
أحد الجوانب الأكثر إثارة للقلق في FakeUpdates هو دوره في توزيع الفدية. وقد أظهرت الأبحاث الحديثة أن مجرمي الإنترنت يستخدمون هذا البرنامج الخبيث كخطوة أولى في هجوم أكثر تعقيدًابمجرد أن يخترق برنامج FakeUpdates نظامًا ما، تنزيل وتشغيل برامج الفدية الذي يقوم بتشفير ملفات المستخدم ويطلب الدفع مقابل استعادتها.
في إسبانيا، تم التعرف على متغيرات برامج الفدية مثل كلوب، فانك سيك ورانسوم هب تستخدم هذه الجماعات الإجرامية الإلكترونية تحديثات مزيفة لنشرها أو الحصول على وصول أولي إلى الشبكات. وقد تمكنت من التأثير على... شركات متعددةمما يتسبب في خسائر اقتصادية كبيرة ويعرض البيانات الحساسة للخطر، لا سيما في القطاعات التي دفاعات أقل نضجاً أو ذات بنى تحتية تكنولوجية معقدة.
وتشير تقارير التهديدات أيضاً إلى مجموعات أخرى ذات صلة ببرامج الفدية الخبيثة، مثل أكيرا، ساتانلوك أو كيلينوالتي تعتمد على سلاسل اختراق متشابهة للغاية: حملات التصيد الاحتيالي، وإساءة استخدام المنصات الشرعية، وبرامج التنزيل الخبيثة، وأخيرًا، التشفير الجماعي للبيانات باستخدام الابتزاز المزدوج (تشفير وتسريب المعلومات المسروقة). يُعد برنامج FakeUpdates جزءًا أساسيًا من هذا السيناريو، حيث يزود المهاجمين بـ نقطة ارتكاز صامتة ومنها يمكن شن بقية الهجوم.
وقد لاحظت بعض التحقيقات أيضًا أنه بعد تنفيذ التحديثات المزيفة، يقوم المهاجمون بنشر أبواب خلفية إضافية تُكتب هذه الثغرات بلغات برمجة أخرى (مثل بايثون) لضمان استمرار الوصول حتى في حال اكتشاف جزء من البرمجية الخبيثة وإزالته. وقد تتضمن هذه الثغرات تقنيات من التمويه المتقدم وحتى أنماط البرمجة بمساعدة الذكاء الاصطناعيمما يزيد من تعقيد تحليلها.
تأثير التحديثات المزيفة في إسبانيا
وفقًا لأحدث التقارير الأمنية، كان لموقع FakeUpdates تأثير كبير في إسبانياتشير التقديرات إلى أن ذلك قد أثر على ما يقرب من شخص واحد في الأشهر الأخيرة 4,5% من شركات الدولةمما يضع إسبانيا بين أكثر المناطق تضرراً من هذه الحملة على مستوى العالم.
تتفق مؤشرات التهديد المختلفة على أن FakeUpdates لا تزال باستمرار من بين... أكثر عائلات البرامج الضارة شيوعًا في بيئة الشركات الإسبانية. وفي بعض التقارير، تُصنف على أنها التهديد السيبراني الرئيسي على الصعيدين العالمي والمحلي، فوق العائلات الأخرى واسعة الانتشار مثل كيوبوت أو غيرها من برامج التجسس العامة.
من بين القطاعات الأكثر تعرضاً للهجوم في إسبانيا ما يلي:
- الاعلام والترفيهوذلك بسبب العدد الكبير من المواقع الإلكترونية التي يديرونها، وتحديثات محتواها المستمرة، وحضورهم منصات الويب المعقدة حيث يمكن استغلال ثغرة أمنية بسرعة.
- المؤسسات الحكومية والعامةوالتي كانت هدفاً لمحاولات اختراق متعددة، وهي جذابة بشكل خاص بسبب القيمة الاستراتيجية للمعلومات أنهم يديرون الأمر.
- شركات المستهلك والخدماتوخاصة تلك التي تمتلك منصات للتجارة الإلكترونية وأنظمة دفع عبر الإنترنت، حيث يكون سرقة البيانات المالية ومؤهلات الاعتماد إنه هدف واضح للمهاجمين.
- الاتصالات والتعليم، والتي تم الاستشهاد بها في العديد من التحليلات باعتبارها قطاعات تتأثر بشكل متكرر بعائلات البرامج الضارة المختلفة، بما في ذلك FakeUpdates و AsyncRAT أو شبكات الروبوتات مثل Androxgh0st.
يُبرز هذا التوزيع للضحايا أن عملية التحديث المزيف لا تقتصر على نوع واحد من المنظمات، بل استغلال أي سطح هجوم متاح: مواقع ويب ضعيفة الحماية، وخدمات خارجية مخترقة، ومنصات شرعية يتم استغلالها لاستضافة الملفات، أو حتى روابط يتم توزيعها عبر حملات التصيد مجزأة للغاية.
أهم التهديدات المتعلقة بـ FakeUpdates
لا يعمل FakeUpdates بمفرده. بشكل عام، هدفهم هو تثبيت أنواع أخرى من البرامج الضارة بمجرد حصوله على حق الوصول إلى النظام. تتضمن بعض أكثرها شيوعًا ما يلي:
- GootLoaderبرنامج تنزيل يسمح للمهاجمين بتنفيذ رمز خبيث إضافي في النظام، يستخدم على نطاق واسع لتمهيد الطريق لهجمات برامج الفدية ولتنفيذ تحركات جانبية داخل شبكة الضحية.
- Dridex: برنامج تجسس مصرفي يستخدم لـ سرقة بيانات الاعتمادالبيانات المالية وارتكاب عمليات الاحتيال عبر الخدمات المصرفية الإلكترونية. يتكامل هذا النظام مع المتصفح لاعتراض النماذج وجلسات المستخدمين.
- NetSupportأداة وصول عن بعد شرعية وهي تم إساءة استخدامها كبرامج ضارةمما يسمح للمهاجمين بالسيطرة على الجهاز المصاب والقيام بإجراءات كما لو كانوا المستخدم، بما في ذلك تثبيت المزيد من البرامج الضارة أو استخراج الملفات.
- AZORultبرامج خبيثة مصممة لـ سرقة البيانات السرية، مثل بيانات اعتماد تسجيل الدخول، وبطاقات الائتمان، وبيانات محفظة العملات المشفرة، والمعلومات المخزنة في المتصفحات.
- DoppelPaymerارتبطت برامج الفدية في عدة مناسبات بسلاسل العدوى حيث تعمل FakeUpdates كمرحلة تمهيدية، تجمع بين تشفير البيانات و تهديدات التسريب للضغط على الضحايا.
يزداد هذا النظام البيئي تعقيداً بسبب تهديدات أخرى ذات صلة، والتي على الرغم من أنها لا تنتشر دائماً بشكل مباشر من خلال التحديثات المزيفة، يتبادلون التكتيكات والضحايا. من بين هؤلاء:
- رمكوبرنامج تجسس (RAT) ينتشر عبر مستندات مكتبية خبيثة المرفقات في رسائل البريد الإلكتروني، وقد تم رصد ذلك في حملات متوازية تستهدف الشركات الإسبانية.
- غير متزامنحصان طروادة للوصول عن بُعد، قامت بعض الحملات بتوزيعه عبر روابط دعوة ديسكورد، مما يوضح كيف يستغل المهاجمون المنصات الشرعية لتوزيع البرامج الضارة.
- أندروكسغ0stشبكة بوتات تؤثر على منصات متعددة وتستغل الثغرات الأمنية ثغرات أمنية في تطبيقات الويب مثل Laravel أو PHPUnit، وهو مثال آخر على كيفية تسهيل الأنظمة التي لا يتم تحديثها بشكل جيد لدخول العديد من عائلات البرامج الضارة.
نواقل العدوى وسلسلة التنفيذ
تتميز التحديثات المزيفة باستخدامها لـ سلسلة تنفيذ متعددة المراحلوهو ما يجمع بين الهندسة الاجتماعية، واستغلال المنصات المشروعة، وتقنيات التهرب المتقدمة. ومن بين أكثر طرق العدوى شيوعًا ما يلي:
- المواقع الإلكترونية المخترقةمواقع إلكترونية شرعية، غالباً ما يتم تطويرها باستخدام ووردبريس أو جوملا أو أنظمة إدارة محتوى أخرى، تم اختراقها من خلال إضافات غير آمنةبيانات اعتماد المسؤول المسروقة أو أخطاء التكوين.
- التصيد عبر البريد الإلكترونيرسائل تتظاهر بأنها تأكيدات الطلبات، الفواتير أو الإشعارات العاجلة وتضمين ملفات مضغوطة (على سبيل المثال، بتنسيق 7-Zip) تحتوي على برامج نصية ضارة.
- منصات التخزين والمحتوى: استخدام الخدمات السحابيةتُستخدم شبكات توصيل المحتوى (CDNs) وغيرها من المستودعات الشرعية لاستضافة الملفات الضارة، مما يخلق انطباعًا بأنها تأتي من مصادر موثوقة.
في العديد من الحملات الموثقة، يتبع مسار الهجوم تسلسلاً واضحاً:
- هندسة اجتماعيةيصل المستخدم إلى موقع مخترق أو يتلقى بريدًا إلكترونيًا للتصيد الاحتيالي ويُعرض عليه... إشعار التحديث خطأ أو ملف يُفترض أنه مطلوب لإكمال عملية ما.
- تنزيل البرنامج النصييقوم الضحية بتشغيل ملف JScript أو ما شابه (أحيانًا بتنسيق .JSE مُشفر)، والذي يُشغّل نصوصًا برمجية إضافية، مثل باور شيل المشفر بصيغة Base64 للتحايل على الضوابط الأساسية.
- تنفيذ المرحلة الثانيةيقوم البرنامج النصي بتنزيل وتشغيل مكون يعتمد على .NET أو AutoIt أو تقنية أخرى، والتي تعمل كأداة تحميل وسيطة.
- حقن في العمليات المشروعةيتم حقن البرامج الضارة في عمليات ويندوز الموثوقة (على سبيل المثال، أدوات النظام)، مما يحسن قدراتهم على التخفي ويجعل اكتشافهم أكثر صعوبة.
- تفريغ الحمولة النهائيةوأخيراً، برامج التجسس، أو برامج الفدية، أو برامج السرقة يختارها المهاجمون، الذين يظلون نشطين لسرقة البيانات أو تشفير المعلومات أو توسيع نطاق اختراق الشبكة.
تتيح هذه البنية المعيارية لـ FakeUpdates التكيف بسرعة مع تكتيكات وأدوات جديدةدمج البرامج الضارة التجارية منخفضة التكلفة و سلاسل هجوم معقدة والتي تُذكّر بتلك التي تستخدمها جهات فاعلة متقدمة أو يحتمل أن تكون مدعومة من الدولة.
العوامل التي تُسهّل انتشاره
إن انتشار التحديثات المزيفة ليس من قبيل الصدفة. فهناك العديد منها. العوامل التقنية والبشرية مما يُسهّل نشره:
- تحديثات مواقع الويب غير المدروسةتحتفظ العديد من البوابات الإلكترونية للشركات إضافات وقوالب قديمةهذا يفتح الباب أمام عمليات حقن التعليمات البرمجية واختراق حسابات المسؤولين.
- الاعتماد المفرط على النوافذ المنبثقةغالباً ما يثق المستخدمون بأي إشعار يحاكي تصميم متصفح معروف، دون التحقق مما إذا كان التحديث يأتي من المصدر الرسمي. الموقع الرسمي للمورد.
- استخدام المنصات الشرعيةيستغل المهاجمون الفرصة شبكات توصيل المحتوى (CDNs) والخدمات السحابية وأدوات العمل التعاوني لاستضافة البرامج الضارة، مما يجعل من الصعب على المؤسسات حظر حركة المرور دون التأثير على عملياتها اليومية.
- التطور المستمر واستخدام الذكاء الاصطناعيتُشير بعض الأبحاث إلى الاستخدام المتزايد لـ الذكاء الاصطناعي لتحسين كتابة الرسائل، وأتمتة الانتشار، وتكييف البرامج الضارة مع آليات الكشف الأكثر شيوعًا.
- نقص التدريب على الأمن السيبرانيفي كثير من الحالات، يعود نجاح التحديثات المزيفة إلى حقيقة أن المستخدم لا يكتشفها. العلامات الأساسية للتصيد الاحتيالي أو المواقع الإلكترونية الاحتيالية، مما يجعل العامل البشري الحلقة الأضعف.
كيف تحمي نفسك من FakeUpdates والتهديدات المماثلة؟
لتجنب الوقوع ضحية للتحديثات المزيفة وأنواع أخرى من البرامج الضارة، من الضروري اتباع سلسلة من الخطوات تدابير أمنية التي تجمع بين التكنولوجيا والعمليات والتدريب:
- لا تقم بتنزيل التحديثات من مصادر غير معروفةإذا عرض موقع ويب إشعارًا بالتحديث، فمن المستحسن دائمًا التحقق منه. مباشرة من الموقع الرسمي من خلال البرنامج أو عبر قائمة التحديث الخاصة بالبرنامج.
- استخدام أدوات الأمن السيبرانيبرنامج جيد لمكافحة الفيروسات، تم تكوين جدار الحماية بشكل صحيح ويمكن أن تساعد حلول الكشف والاستجابة (EDR) في تحديد السلوك المشبوه ومنع محاولات العدوى في الوقت الفعلي.
- حافظ على تحديث كافة البرامجالعديد من الثغرات الأمنية التي يستغلها برنامج FakeUpdates ناتجة عن عيوب أمنية في الإصدارات القديمة من المتصفحات، والإضافات، وأنظمة التشغيليؤدي تطبيق التحديثات بانتظام إلى تقليل مساحة الهجوم بشكل كبير.
- عمل نسخ احتياطية بشكل منتظمفي حالة الإصابة ببرامج الفدية، احتفظ بنسخة احتياطية حديثة و مخزنة بأمان (في البيئات غير المتصلة أو غير القابلة للتغيير) يضمن استعادة البيانات دون الحاجة إلى دفع فدية.
- طاقم القطاريُعدّ التدريب على الأمن السيبراني أمراً أساسياً للموظفين والمستخدمين ليتعلموا كيفية التعرف على النوافذ المنبثقة المشبوهةرسائل البريد الإلكتروني الاحتيالية والمواقع الإلكترونية المزيفة التي تحاول انتحال صفة التحديثات.
- تطبيق إجراءات أمنية متعددة الطبقاتدمج عناصر تحكم مختلفة، مثل تصفية محتوى الويب، عزل الملحقاتيحد تجزئة الشبكة وضوابط الوصول المعززة من التأثير حتى عندما يتمكن التهديد من الدخول.
- تنفيذ المصادقة متعددة العوامل (MFA)على الرغم من أنها لا تمنع العدوى الأولية، إلا أنها تجعل من الصعب على المهاجمين استغلالها. بيانات اعتماد مسروقة للتنقل جانبياً أو الوصول إلى لوحات إدارة الموقع الإلكتروني.
- استخدم عزل الويب والتصفح الآمنتختار بعض المنظمات تقنيات من شأنها أن يقومون بالملاحة في بيئات معزولة.تقليل خطر استغلال ثغرة أمنية أو برنامج نصي ضار يؤثر بشكل مباشر على جهاز الكمبيوتر الخاص بالمستخدم.
لا يزال موقع FakeUpdates يمثل التهديد ذو الصلة في مجال الأمن السيبراني في إسبانيا والعالم. إن قدرته على خداع المستخدمين، والاندماج في سلاسل الهجمات المتقدمة، وتسهيل تثبيت أنواع أخرى من البرامج الضارة، تجعله خطراً دائماً على الشركات والأفراد. يواصل مجرمو الإنترنت تطوير استراتيجياتهم وقد تم ترسيخ تبني تقنيات مثل الذكاء الاصطناعي والوقاية والمراقبة الاستباقية والتوعية باعتبارها الركائز الأساسية للحفاظ على الأجهزة والشبكات محمية ضد حملة مستمرة مثل FakeUpdates.
وهذا كل شيء لهذا اليوم! أخبرنا في التعليقات إذا كنت تعرف ذلك بالفعل FakeUpdates: هكذا تعمل البرامج الضارة الأكثر انتشارًا في إسبانيا وكيف يمكنك حماية أجهزتك من هذا التهديد.