في الآونة الأخيرة، برز نمط هجوم جديد (أو بالأحرى تطور في أسلوب قديم) يستند إلى ما يبدو بسيطاً للمستخدم: لصق أمر داخل نافذة الطرفية. ما كان يُستخدم أحياناً كوسيلة مساعدة تقنية أو “خدعة” لبدء تشغيل برنامج، بات يُستغل اليوم كطُعم (Lure) لتسليم برمجيات خبيثة قادرة على سرقة بيانات حساسة—ومن ثم الانتقال إلى هدف أكثر ربحاً: إفراغ أو استنزاف محافظ العملات الرقمية.

وفقاً لتقارير باحثين من قطاع الحماية، فإن سلاسل هجوم على أجهزة macOS تعتمد على أسلوب شبيه بـ [ClickFix] لتشغيل أداة تمهيدية ثم تنزيل حمولة برمجية (Payload) متوافقة مع بنية المعالج، قبل أن تبدأ مرحلة السرقة: كلمات المرور المحفوظة في المتصفح، بيانات [Apple iCloud Keychain]، وأوراق اعتماد مخزنة محلياً. والأكثر لفتاً للانتباه هو تضمين جزء وظيفي مخصص لـ [DRAIN] يقوم بالتحقق من وجود أموال في محفظة رقمية ثم تحويل جزء منها أو كاملها إلى حساب المهاجم تحت ظروف محددة.

لماذا “لصق الأوامر” أخطر مما يبدو؟

أسلوب [ClickFix] يعتمد على خداع المستخدم ليقوم بخطوة “تبدو تقنية” لكن جوهرها اجتماعي-هندسي (Social Engineering). بدلاً من أن يضغط المستخدم رابطاً خبيثاً مباشرة، يتم توجيهه إلى نسخ أمر ولصقه في نافذة طرفية أو نافذة “تشغيل” أو ما شابه. هذه الخطوة تمنح المهاجمين ميزة قاتلة: فهي تتجاوز كثيراً من الحواجز التي تفشل عند مجرد تنزيل ملف أو فتح رابط، لأن المستخدم نفسه يصبح “منفذاً” لسلسلة الهجوم.

من منظور الدفاع، هذا النوع من الهجمات يختبر نضج المؤسسة في ثلاثة محاور متزامنة:

• مستوى الوعي الأمني: هل يفهم المستخدم أن “الأخطاء غير المتوقعة” أو “إصلاحات النظام” قد تكون مجرد واجهة؟
• حماية الهوية والصلاحيات: هل توجد ضوابط تقلل من أثر إدخال بيانات الاعتماد داخل بيئة طرفية؟
• الرصد السلوكي (Behavioral Detection): هل تراقب الأدوات تنفيذ أوامر الطرفية والتنزيلات المتسلسلة والحمولات المتوافقة مع البنية؟

تفكيك سلسلة الهجوم على macOS: من Terminal إلى سرقة كلمات المرور

1) بدء التنفيذ عبر Terminal وأداة تمهيدية

تبدأ السلسلة—بحسب ما ورد في إفادات الباحثين—بأن يقوم الضحية بلصق أمر [ClickFix] داخل تطبيق الطرفية. هذا الأمر يشغّل سكربت [Bash] يعمل كـ مُعرّف بيئة (Profiler/Loader). وظيفته ليست “تشغيل شيء فقط”، بل جمع معلومات واسعة عن الجهاز: مواصفات النظام، معالج الجهاز، وإشارات بيئية أخرى لتحديد ما إذا كانت الهجمة ستستمر.

ثم يستخدم هذا السكربت المعلومات التي جمعها لاستدعاء حمولة (Mach-O) متوافقة مع معمارية المعالج. هذه الخطوة تعكس نضجاً عملياتياً: فبدلاً من إرسال حمولة واحدة “عامة” قد تفشل على أجهزة مختلفة، يتم توريد حمولة دقيقة تزيد فرص النجاح.

2) حمولة برمجية مكتوبة بلغة Go ووظائف سرقة متعددة

الحمولة الموصوفة في التقارير هي [Go-based stealer]—أي مُسرِق بيانات مبني عادةً على مكتبات حديثة تسهّل إعادة الاستخدام والتحديث—ويستهدف عدداً من مصادر البيانات:

• كلمات المرور المحفوظة في المتصفح
• بيانات [Apple Keychain] بما في ذلك عناصر مرتبطة بـ [Apple iCloud Keychain]
• بيانات اعتماد مخزنة محلياً (Cached credentials)

هذا التزاوج بين سرقة بيانات المتصفح و[Keychain] يضع الدفاع أمام تحدٍ: لأن كثيراً من أنظمة الحماية التقليدية تركز على ملفات تنزيلات سطحية أو سلوك واضح مثل “فتح ملف” فقط، بينما هنا يتم استهداف مستودعات بيانات حساسة داخل النظام نفسه.

3) استدراج إدخال بيانات الاعتماد عبر نافذة مزيفة

كجزء من محاولة رفع الصلاحيات، تتضمن البرمجية آلية تستغل ثقة المستخدم عبر تقديم طلب إدخال بيانات الاعتماد ضمن نافذة مزيفة. تُعرض النافذة على شكل “خطأ نظام غير متوقع” لتقليل الشكوك، مع محاولة إصلاح/استعادة ملفات متضررة—وهو سلوك يهدف غالباً إلى تقليل آثار العدوى وإطالة عمرها.

ميزة DRAIN: من السرقة إلى الإفراغ المنظم للمحافظ الرقمية

تضيف هذه الحملة بعداً جديداً مقارنةً بالعديد من “السرّاقين” التقليديين. فبدلاً من الاكتفاء بسرقة كلمات مرور أو مفاتيح، تتضمن البرمجية روتين [DRAIN] يتحقق من وجود أموال داخل محفظة العملات المستهدفة. إذا وُجدت أموال، يقوم البرنامج بتحويل جزء منها أو كاملها إلى عنوان يتحكم به المهاجم.

وفقاً للتوصيف، توجد نسخ متعددة من وظيفة الاستنزاف تتغير بحسب العملة المستهدفة، وتشمل عملات معروفة مثل: [Bitcoin] و[Litecoin] و[Dogecoin] و[Monero] و[Ethereum] و[XRP]. والأهم أن الباحثين أشاروا إلى وجود منطق يحدد “كم” من قيمة المحفظة يتم تحويله—بشكل قد يسمح بالاستنزاف التدريجي أو الكامل وفقاً لسيناريوهات محددة.

هذا لا يعني أن “الاستنزاف” لم يكن موجوداً سابقاً في عائلات أخرى من البرمجيات الخبيثة؛ لكن الجديد هنا هو دقة التنفيذ والقدرة على جعل الاستنزاف جزءاً من نفس سلسلة البيانات والاعتماد—أي أن الهجوم لا يكتفي بسرقة بيانات ثم انتظار خطوة لاحقة، بل يحاول تحقيق أثر مالي مباشر.

البنية التحتية: ربط العمليات بجهات استضافة مستهدفة بالعقوبات

تُظهر التحقيقات أن خوادم تجهيز الحمولة (staging) وخوادم التحكم (C2) مرتبطة ببنية تحتية تعود إلى [Aeza Group]—وهو مزود استضافة “Bulletproof” تم فرض عقوبات عليه من جهات في الولايات المتحدة والمملكة المتحدة وأستراليا بسبب تسهيل نشاطات جنائية رقمية. هذه المعلومة مهمة لأن الدفاع لا يقتصر على “إزالة ملف”؛ بل يتعلق بفهم كيفية استمرار الخدمة خلف طبقات إخفاء.

وبالنسبة للمؤسسات، فإن أثر ذلك عملي: حتى لو تم تنظيف جهاز فردي، قد تستمر البصمات الرقمية للمهاجمين عبر عناوين جديدة أو قنوات تحميل مختلفة، ما لم تتم معالجة سلسلة الثقة بالكامل (من المستخدم إلى الشبكة إلى الهوية).

لماذا تتزامن هذه الحملة مع موجة ClickFix أخرى؟

التقارير تشير إلى أن هذا الاكتشاف جاء ضمن سياق أوسع: فقد سُجلت خلال الأسابيع الأخيرة حملات [ClickFix] أخرى على Windows وmacOS. وتنوعت الأساليب، لكن القاسم المشترك واحد: استغلال ثغرة سلوكية في تعامل المستخدم مع “التعليمات” بدل استغلال ثغرات برمجية مباشرة.

أمثلة من حملات مرتبطة بنفس الفلسفة

• حملة على macOS توزع برمجيات مثل [MacSync] و[Atomic Stealer] مع استخدام نطاقات متشابهة (look-alike domains) وبوابات تحقق من البيئة عبر بصمات المتصفح والعتاد لمنع ظهور الطُعم أمام الزواحف أو أدوات التحليل.
• نسخة على Windows تستغل برنامجاً شرعياً [Program Compatibility Assistant] لتجاوز بعض قواعد كشف “سلسلة العمليات”، ثم تستخدم [PowerShell] و[WMI] و[WebDAV] لتوصيل [DLL] خبيثة عبر مسارات مرتبطة بمُعرّف لكل ضحية.
• استخدام [WebAssembly] ووسائط رسومية مثل [SVG] للتضمين (steganography) بهدف مراوغة الكشف على مستوى الشبكة، مع بناء حمولة URL بشكل ديناميكي.

هذا التنوع في التقنية—مع بقاء “الواجهة الاجتماعية” ثابتة—يشير إلى أن المهاجمين وصلوا إلى مرحلة ناضجة: الطُعم هو المحرك، والتقنيات التنفيذية تتكيف حسب بيئة الضحية.

القطاع المستهدف: لماذا قد تكون الشركات الكبرى في مرمى النيران؟

رغم أن الوصف هنا يركز على macOS، إلا أن الهدف النهائي—سرقة كلمات مرور وبيانات [Keychain] ثم الاستنزاف المالي—يتكرر في حملات تستهدف:

• القطاع المالي (بسبب وجود محافظ رقمية أو بوابات دفع أو حسابات استثمار)
• الجهات التي تعتمد العمل عن بعد (بسبب زيادة احتمالات تنفيذ تعليمات غير موثوقة على أجهزة المستخدم)
• الشركات ذات البنية المختلطة (macOS وWindows معاً)، حيث تصبح فروقات الحماية بين الأنظمة نقطة ضعف تنظيمية

كصحفي أمن، من المهم التأكيد أن “الهجوم على جهاز المستخدم” لم يعد مجرد حادثة تقنية؛ بل أصبح قناة للوصول إلى حسابات مالية عبر بيانات اعتماد مخزنة، ثم تحويل الأثر إلى مكاسب رقمية.

ما الذي يجب فعله؟ إجراءات دفاعية عملية تقلل النجاح

1) تقليل الثقة في إدخال الأوامر من المستخدم

حتى مع أفضل أدوات الحماية، فإن أسلوب لصق الأوامر ينجح عندما يفشل المستخدم في التحقق. لذلك، تحتاج المؤسسات إلى سياسات واضحة:

• حظر أو تقييد تنفيذ أوامر طرفية غير مبررة على أجهزة المستخدمين حيثما أمكن.
• تدريب موجّه على سيناريوهات “خطأ نظام غير متوقع” و”إصلاح عاجل” و”تعليمات لصق”.
• اعتماد إجراءات مساعدة رسمية داخل المؤسسة بدلاً من تعليمات تأتي من طرف مجهول.

2) حماية بيانات الاعتماد و[Keychain]

لأن الهدف يتضمن [Keychain] وبيانات المتصفح، فالمطلوب:

• مراجعة إعدادات مزامنة [iCloud Keychain] وسياسات كلمة المرور (مثل [MFA]) حيثما كان ذلك ممكناً.
• تفعيل حلول كشف السلوك التي تراقب الوصول إلى مستودعات كلمات المرور ومحاولات استخراجها.
• استخدام [Password Manager] مؤسسي مع ضوابط وصول قوية، وعدم الاعتماد على تخزين محلي فقط.

3) رصد سلوك تحميل حمولة متوافقة مع المعمارية

الهجمات الموصوفة تعتمد على سلسلة: أمر طرفية → سكربت تمهيد → تنزيل حمولة متوافقة مع المعالج. هذا النمط قابل للرصد إذا كانت أدوات المؤسسة تملك بصيرة كافية. من الأفضل:

• تطبيق كشف على مستوى المضيف (Endpoint Detection and Response) يركز على سلاسل التنفيذ، لا على الملف وحده.
• مراقبة الاتصالات الخارجية بعد تنفيذ أوامر الطرفية مباشرة.
• تقييد الصلاحيات الشبكية للأجهزة غير المُدارة بالكامل.

4) ربط الاستجابة بمعايير وممارسات معروفة

لضمان اتساق الاستجابة، يمكن الاسترشاد بإطار عمل مثل نموذج MITRE ATT&CK لتصنيف مراحل الهجوم (مثل التنفيذ الأولي، جمع البيانات، ومحاولات الاستحواذ على الاعتماد). كما تساعد أطر مثل إطار عمل NIST للأمن السيبراني في تنظيم الجوانب الوقائية والكشف والاستجابة.

اتجاهات قادمة: لماذا سيزداد هذا النوع من الهجمات؟

من منظور الاتجاهات، هناك ثلاثة عوامل تجعل “هجمات لصق الأوامر” أكثر انتشاراً:

• زيادة الاعتماد على أدوات الطرفية في العمل عن بعد، ما يجعل المستخدمين أكثر استعداداً لتجربة تعليمات تبدو تقنية.
• تحسن أساليب التحقق من البيئة لتقليل فرص التحليل، عبر بصمات المتصفح والعتاد والبوابات الجانبية.
• تحويل الهدف من البيانات إلى المال: لم يعد كسب العائد محصوراً في بيع البيانات؛ بل يتم استهداف الأصول الرقمية مباشرة عبر منطق [DRAIN].

وبينما تتطور التقنيات، يبقى الخطر ثابتاً: فجوة الثقة بين ما يقوله “الطُعم” وما يدركه المستخدم.

خلاصة وتحدٍ للنقاش

هذه الحملة ليست مجرد اكتشاف لبرمجية سرقة جديدة؛ إنها إشارة إلى أن المهاجمين يعيدون تصميم مسار الهجوم ليجمع بين الهندسة الاجتماعية والتنفيذ الدقيق على مستوى النظام وتحقيق أثر مالي مباشر. وعندما تتقاطع هذه العناصر، تصبح حماية كلمات المرور وحدها غير كافية.

سؤال للنقاش: إذا وصل إليك “تنبيه” يطلب لصق أمر في الطرفية بحجة إصلاح مشكلة عاجلة، ما هي الخطوة المؤسسية التي ستتبعها فوراً للتحقق—ومن يملك صلاحية إيقاف التنفيذ حتى قبل حدوث أي تنزيل أو تشغيل؟

مصادر مقترحة للتوسع:
الهندسة الاجتماعية (أمن)
مسجل المفاتيح
واجهة سطر الأوامر
لمحة عن مفاهيم العملات الرقمية (للسياق)

تابع التغطيات المهنية:
فيسبوك،
إكس