كيف استغلت إضافات المتصفح المسلحة لـ GreedyBear اختراق أكثر من $1M في ممتلكات العملات الرقمية

تم الكشف عن عملية إجرامية إلكترونية متطورة من قبل باحثي كوي سيكيوريتي، تكشف عن حملة واسعة نظمها مجموعة التهديد الروسية GreedyBear. على مدى خمسة أسابيع انتهت في أغسطس، نجح المهاجمون في سرقة أكثر من $1 مليون في العملات الرقمية من خلال بنية هجوم متعددة الطبقات.

الترسانة: 150 إضافة متصفح و500+ ملف خبيث

كان حجم هذه العملية مذهلاً. قامت مجموعة GreedyBear بنشر 150 إضافة فايرفوكس مسلحة، موزعة عبر العشرات من المواقع الوهمية المصممة لمحاكاة منصات شرعية. بالتوازي، سرق القراصنة رموزًا من بنية الدعم التحتية من خلال استغلال ما يقرب من 500 ملف تنفيذي خبيث لنظام ويندوز تم رفعه إلى مستودعات البرامج الروسية التي تستضيف تطبيقات مقرصنة ومعبأة من جديد. وفقًا لعدان دارديكمان، المدير التقني في كوي سيكيوريتي، ثبت أن الهجوم القائم على فايرفوكس كان الأكثر ربحية، حيث أنتج غالبية $1 مليون من العائدات.

تقنية انتحال المحافظ

الآلية الأساسية كانت تتضمن إنشاء نسخ مقلدة من محافظ العملات الرقمية الشهيرة. استهدف القراصنة MetaMask، Exodus، Rabby Wallet، و TronLink — من بين أكثر حلول الحفظ الذاتي استخدامًا في نظام العملات الرقمية.

استخدم المهاجمون تقنية متطورة تسمى Extension Hollowing لتجاوز مراجعات أمان السوق. كانت العملية تتم على مراحل: أولاً، قدموا نسخة شرعية من الإضافة إلى المتجر الرسمي، ونجحوا في اجتياز الفحص الأولي. بمجرد الموافقة، تلقت التطبيق تحديثات تدريجية تحتوي على رمز خبيث لم يتم اكتشافه بواسطة الأنظمة الآلية. لتعزيز المصداقية، قام المهاجمون بصنع تقييمات إيجابية من المستخدمين، مما خلق وهم الثقة الذي شجع على التحميل.

سرقة بيانات الاعتماد وما بعدها

بمجرد أن قام المستخدمون غير الحذرين بتثبيت الإضافات المخترقة، بدأ البرمجيات الخبيثة على الفور في جمع بيانات اعتماد المحافظ والمفاتيح الخاصة. أصبحت هذه البيانات المسروقة مفاتيح للملك— حيث استخدمها المهاجمون بعد ذلك لتفريغ ممتلكات العملات الرقمية من المحافظ المخترقة.

إلى جانب الهجمات عبر المتصفح، كانت الملفات التنفيذية الخبيثة الموزعة على مرآة البرامج الروسية بمثابة آليات توصيل لمجموعة أدوات أوسع تشمل سرقة بيانات الاعتماد، وبرمجيات الفدية، وأنواع مختلفة من Trojan. هذا النهج المتنوع ضمن طرق الاختراق ضمّن وجود مسارات متعددة لاختراق الأنظمة المستهدفة واستخراج البيانات الحساسة.

تؤكد الحملة على وجود ثغرة حرجة في سلسلة الأمان: الثقة التي يضعها المستخدمون في الإضافات ذات المظهر الشرعي وسهولة استغلال المهاجمين لآليات التحديث في قنوات توزيع البرامج الشرعية.