كشفت هيئة الاستجابة لطوارئ الحاسوب في أوكرانيا (CERT-UA) عن حملة سيبرانية واسعة النطاق استهدفت مستخدمي الإنترنت عبر أكثر من 100 موقع إلكتروني مخترق، حيث جرى حقن هذه المواقع بشيفرات جافا سكريبت خبيثة لتمرير برمجية سرقة المعلومات المعروفة باسم LunexStealer، والتي تعرف أيضًا باسم Psychedelic Stealer.
ووفقًا للتحقيقات التي أجرتها الهيئة، فقد رُصدت هذه العمليات خلال سبتمبر 2026، ونُسبت إلى مجموعة تهديدات أطلقت عليها الجهات المختصة اسم UAC-0277. ورغم أن السلطات الأوكرانية لم تكشف عن هوية الضحايا المستهدفين أو حجم الاختراقات الفعلية الناتجة عن هذه الحملة، فإن المؤشرات الفنية تؤكد وجود عملية منظمة تستهدف سرقة بيانات المستخدمين عبر أساليب هندسة اجتماعية متطورة.
صفحات تحقق مزيفة تستغل ثقة المستخدمين
تعتمد الحملة على تكتيك بات شائعًا بين المهاجمين السيبرانيين يقوم على تقليد صفحات التحقق التابعة لخدمة Cloudflare. فعند زيارة أحد المواقع المصابة، يُفاجأ المستخدم بظهور صفحة تحقق مزيفة تدّعي التأكد من أن الزائر إنسان حقيقي وليس روبوتًا آليًا.
وتحت هذا الغطاء الخادع، يُطلب من الضحية تنفيذ أمر معين على جهازه. وبمجرد الاستجابة لهذه التعليمات، يتم تنزيل حزمة تثبيت خبيثة بصيغة MSI من خادم بعيد ثم تنفيذها تلقائيًا على النظام.
ويُعرف هذا الأسلوب باسم ClickFix، وهو اتجاه متنامٍ في عالم الهجمات الإلكترونية يعتمد على دفع الضحية إلى تنفيذ خطوات تبدو مشروعة ظاهريًا، بينما تؤدي فعليًا إلى منح المهاجمين القدرة على إصابة الجهاز ببرمجيات خبيثة دون الحاجة إلى استغلال ثغرات تقنية معقدة.
وتتميز هذه الطريقة بارتفاع معدلات نجاحها لأنها تستغل العامل البشري والثقة الممنوحة للواجهات المشابهة لخدمات معروفة وشائعة الاستخدام.
تقنية EtherHiding تضيف طبقة جديدة من التخفي
ما يزيد من خطورة هذه الحملة هو استخدامها لتقنية تعرف باسم EtherHiding، والتي تعتمد على شبكات البلوكتشين اللامركزية مثل Ethereum وPolygon لإخفاء أجزاء من بنيتها التشغيلية.
بدلًا من تخزين عناوين الخوادم الخبيثة على مواقع تقليدية يمكن اكتشافها أو حجبها بسهولة، يلجأ المهاجمون إلى حفظ معلومات التشغيل داخل العقود الذكية على شبكات البلوكتشين. وعند تشغيل الشيفرة الخبيثة، تقوم باسترجاع اسم النطاق المطلوب وإعدادات العمل مباشرة من تلك العقود.
وتشير CERT-UA إلى أن البرمجية تعمل وفق ثلاثة أوضاع تشغيلية رئيسية:
الوضع الأول: يكون النظام غير نشط.
الوضع الثاني: يقتصر على مراقبة الزوار وجمع بيانات حول الموقع الإلكتروني وصفحة الإحالة التي جاء منها المستخدم.
الوضع الثالث: يتم خلاله عرض صفحة Cloudflare المزيفة واستهداف الضحية بعملية الإصابة الفعلية.
ومن اللافت أن صفحة التحقق الوهمية لا تظهر لجميع الزوار، بل تستهدف مستخدمي نظام ويندوز القادمين من نتائج محركات البحث تحديدًا، كما يتم تقييد ظهورها بحيث لا تُعرض للشخص نفسه أكثر من مرتين خلال فترة 12 ساعة، وهي آلية تهدف إلى تقليل احتمالات اكتشاف النشاط الخبيث من قبل الباحثين الأمنيين.
ثلاث نسخ مختلفة من البرمجية الخبيثة
أظهرت التحليلات الفنية وجود ثلاثة إصدارات رئيسية من حزم MSI المستخدمة في الهجوم.
الإصدار الأول هو الأبسط، إذ يقوم بتثبيت برمجية LunexStealer مباشرة على الجهاز المصاب.
أما الإصدار الثاني فيتضمن قدرات أكثر تعقيدًا، حيث يسعى إلى تجاوز نظام التحكم في حسابات المستخدمين داخل ويندوز (UAC)، ثم يضيف استثناءات داخل Microsoft Defender لتجنب الاكتشاف. كما يستغل برنامج تشغيل تابعًا لشركة AMD يعرف باسم PDFWKRNL.sys، وهو برنامج شرعي لكنه يحتوي على نقاط ضعف يمكن توظيفها لتعطيل أو إضعاف برمجيات الحماية الأمنية قبل تنزيل وتشغيل البرمجية الأساسية.
في المقابل، يستخدم الإصدار الثالث أسلوب DLL Sideloading، حيث يتم تشغيل ملف تنفيذي شرعي يدعى FnHotkeyUtility.exe ليقوم بتحميل مكتبة ديناميكية خبيثة باسم spkvol.dll، والتي تتولى فك تشفير البرمجية الضارة وتشغيلها داخل النظام.
امتداد متخفي باسم Microsoft Office وقدرات واسعة للتجسس
تشير التقارير الأمنية إلى أن LunexStealer لا تقتصر وظيفتها على سرقة البيانات التقليدية، بل تقوم أيضًا بتثبيت امتداد متصفح خبيث يحمل اسم LUNARAXE ويتنكر تحت مسمى Microsoft Office Word Editor لإضفاء الشرعية على وجوده.
ويمتلك الامتداد إمكانات واسعة تشمل سرقة ملفات تعريف الارتباط، وسجل التصفح، وبيانات تسجيل الدخول، والمعلومات المدخلة داخل النماذج الإلكترونية. كما يمنح المهاجمين قدرة على التحكم عن بعد في المتصفح وتشغيل تعليمات JavaScript عشوائية داخل الصفحات التي يزورها الضحية.
وتزداد الخطورة مع تثبيت مكون إضافي يسمى NAIVEMESS، والذي يسمح للامتداد بالتفاعل المباشر مع نظام ملفات ويندوز عبر آلية تعتمد على PowerShell.
وتشمل وظائف هذا المكون استعراض الأقراص الصلبة، والتنقل بين المجلدات، وقراءة الملفات وكتابتها وتعديلها، إضافة إلى تنفيذها مباشرة على الجهاز المستهدف. كما يمكنه ضغط الملفات والمجلدات داخل أرشيفات ZIP ثم نقلها إلى المهاجمين بعد ترميزها بصيغة Base64 لتسهيل عملية تهريب البيانات.
ويتألف نظام LUNARAXE من ثلاثة وحدات رئيسية؛ الأولى مسؤولة عن الاتصال بخوادم القيادة والتحكم واستقبال الأوامر وسرقة بيانات المتصفح المختلفة، والثانية متخصصة في التقاط بيانات الاعتماد التي يكتبها المستخدم داخل النماذج الإلكترونية، بينما تعمل الثالثة على تعطيل آليات Content Security Policy (CSP) داخل المواقع الإلكترونية من خلال إزالة رؤوس الحماية الخاصة بها، مما يتيح تشغيل تعليمات JavaScript غير مصرح بها وفتح المجال لمزيد من الأنشطة الهجومية.
وفي ضوء هذه التهديدات، أوصت CERT-UA المؤسسات بتقييد استخدام نافذة “تشغيل” في ويندوز للمستخدمين العاديين عبر سياسات المجموعات، ومنع تثبيت حزم MSI دون صلاحيات إدارية، ومراقبة تشغيل أداة msiexec.exe بشكل مستمر، إلى جانب تفعيل قوائم حظر برامج التشغيل المعرضة للاستغلال.
كما شددت Microsoft على أهمية تشغيل قاعدة Attack Surface Reduction (ASR) الخاصة بمنع إساءة استخدام برامج التشغيل الموقعة والضعيفة، وذلك للحيلولة دون تمكن التطبيقات الخبيثة من تحميل أو تثبيت برامج تشغيل قابلة للاستغلال داخل الأنظمة المستهدفة.
