هيئة CERT-UA الأوكرانية تحذّر من حملة برمجيات خبيثة واسعة النطاق تستهدف مستخدمي Windows
حذّرت هيئة CERT-UA الأوكرانية، التابعة لهيئة الدولة للاتصالات الخاصة وحماية المعلومات (دِرْجسْبيتسْفْيازوك)، من حملة واسعة النطاق لتوزيع البرمجيات الخبيثة تُنسب إلى مجموعة القراصنة UAC-0277. وخلال سبتمبر 2026، أُضيفت شيفرة JavaScript خبيثة إلى أكثر من 100 موقع إلكتروني شرعي، تعرض للزائرين القادمين من محركات البحث صفحة تحقق مزيفة من Cloudflare تدفعهم إلى نسخ وتنفيذ أوامر عبر Win+R أو موجه الأوامر أو PowerShell، مما يؤدي إلى تثبيت أداة السرقة LUNEXSTEALER وملحق متصفح خبيث متنكر في هيئة "Microsoft Office Word Editor".
أبرز النقاط
- اكتشفت CERT-UA حملة واسعة النطاق لتوزيع البرمجيات الخبيثة عبر مواقع إلكترونية شرعية مخترقة.
- في سبتمبر 2026، سُجِّلت أكثر من 100 موقع إلكتروني مخترق أُضيفت إليه شيفرة JavaScript خبيثة.
- تُنسب الحملة إلى مجموعة القراصنة التي تحمل المعرف UAC-0277.
- يستخدم المهاجمون تقنية ClickFix لعرض صفحة تحقق مزيفة من Cloudflare على المواقع الشرعية المخترقة.
- تُعرض الصفحة الخبيثة فقط لمستخدمي نظام Windows القادمين من محركات البحث (Google وDuckDuckGo وmeta.ua وbigmir.net وغيرها).
- تحثّ CERT-UA المستخدمين على إغلاق أي صفحة تطلب منهم الضغط على Win+R أو فتح موجه الأوامر أو PowerShell أو لصق وتنفيذ أوامر، باعتبار أن هذه الخطوة ليست مطلوبة في أي تحقق شرعي.
- تستخدم البنية التحتية للهجوم شبكتي blockchain هما Polygon وEthereum لإدارة الإعدادات وإخفاء الآثار.
- تُثبَّت بعد الإصابة أداة LUNEXSTEALER وملحق متصفح خبيث متنكر في هيئة "Microsoft Office Word Editor" يتيح سرقة كلمات المرور والتحكم عن بُعد بالجهاز.
- يوصي مسؤولو الأنظمة بحظر مربع حوار Win+R للمستخدمين العاديين، وتقييد تثبيت حزم MSI غير الموقّعة، واستخدام قوائم السماح لملحقات المتصفح.
- يمكن الإبلاغ عن المواقع المخترقة وصفحات التحقق المزيفة عبر البريد الإلكتروني [email protected].
لماذا يهمّ ذلك
تتسم هذه الحملة بخطورة خاصة لأنها تستغل أكثر من 100 موقع إلكتروني شرعي وموثوق كوسيلة للعدوى، مما يوسّع بشكل كبير نطاق الضحايا المحتملين. وتعتمد التقنية على الهندسة الاجتماعية — صفحة CAPTCHA أو تحقق Cloudflare مزيفة تدفع المستخدم نفسه إلى تنفيذ الأوامر — مما يجعلها فعّالة حتى ضد المستخدمين غير المتمرسين تقنيًا. وفي حال نجاح الإصابة، تُسرق كلمات المرور وسجل التصفح، ويصبح الجهاز تحت سيطرة المهاجمين عن بُعد. كما يستخدم المهاجمون بنية تحتية قائمة على تقنية البلوك تشين (Polygon وEthereum) لتدوير إعداداتهم بسرعة، مما يصعّب جهود الإزالة والدفاع. والتهديد نشط حاليًا ضد مستخدمي Windows القادمين من محركات البحث الكبرى، بما في ذلك محركات أوكرانية مثل meta.ua وbigmir.net. وقد نشرت CERT-UA توجيهات دفاعية محددة، أبرزها حظر اختصار Win+R للمستخدمين العاديين، وتقييد تثبيت حزم MSI غير الموقّعة، واستخدام قوائم السماح لملحقات المتصفح، إلى جانب قناة اتصال للإبلاغ عن الحوادث.
ماذا حدث
أعلنت هيئة CERT-UA، وهي فريق الاستجابة الوطنية لطوارئ الحاسوب التابع لهيئة الدولة للاتصالات الخاصة وحماية المعلومات (دِرْجسْبيتسْفْيازوك) في أوكرانيا، عن اكتشافها حملة كبيرة لتوزيع البرمجيات الخبيثة تُنسب إلى مجموعة القراصنة التي تحمل المعرف UAC-0277. وخلال شهر سبتمبر 2026، رصدت الهيئة أكثر من 100 موقع إلكتروني شرعي مُخترق أُضيفت إليه شيفرة JavaScript خبيثة. يستخدم المهاجمون تقنية ClickFix، حيث يعرضون على زائري هذه المواقع صفحة تحقق مزيفة من Cloudflare، فيُطلب منهم، تحت ذريعة التأكيد المعتاد "أنا لست روبوتًا"، نسخ وتنفيذ أمر محدد عبر اختصار لوحة المفاتيح Win+R، أو موجه الأوامر، أو PowerShell. وفي حال تنفيذ المستخدم للأمر، يُحمَّل ويُثبَّت على حاسوبه برنامج خبيث. ويُلاحظ أن الصفحة الخبيثة لا تُعرض إلا لمستخدمي نظام Windows القادمين إلى الموقع من محركات بحث مثل Google وDuckDuckGo وmeta.ua وbigmir.net، ولا تُعرض أكثر من مرتين لكل زائر خلال 12 ساعة. وتستخدم مجموعة UAC-0277 شبكتي البلوك تشين Polygon وEthereum لإدارة بنيتها التحتية وإخفاء آثارها، مما يتيح لها تغيير إعداداتها بسرعة وخِلسة. ولتجاوز الدفاعات، يُتنكر ببرنامج LUNEXSTEALER الخبيث في هيئة ملفات شرعية ويستغل ثغرات في برامج تشغيل نظام Windows. وبعد الإصابة، يُثبَّت في متصفح الضحية ملحق خبيث متنكر في هيئة "Microsoft Office Word Editor"، يتيح للمهاجمين سرقة بيانات تسجيل الدخول وكلمات المرور وسجل التصفح، والتحكم بالجهاز عن بُعد. وأكّدت CERT-UA أن أي تحقق شرعي، سواء CAPTCHA أو Cloudflare، لا يطلب من المستخدم أبدًا الضغط على Win+R أو فتح موجه الأوامر أو PowerShell أو لصق وتنفيذ أوامر، داعيةً إلى إغلاق أي صفحة تطلب ذلك فورًا.
الخلفية
تُعد CERT-UA فريق الاستجابة الوطنية الأوكراني لطوارئ الحاسوب، ويعمل تحت مظلة هيئة الدولة للاتصالات الخاصة وحماية المعلومات (دِرْجسْبيتسْفْيازوك). أما تقنية ClickFix، فتعتمد على خداع المستخدمين لحملهم على تنفيذ أوامر خبيثة بأنفسهم، عبر محاكاة عمليات تحقق أمنية شرعية مثل CAPTCHA أو تحقق Cloudflare. وتجدر الإشارة إلى أن عمليات التحقق الشرعية، بما فيها CAPTCHA أو Cloudflare، لا تطلب أبدًا من المستخدم الضغط على اختصار Win+R أو فتح موجه الأوامر أو PowerShell أو لصق وتنفيذ أوامر.