كشف باحثو الأمن السيبراني عن أداة استغلال معقدة باسم PEEP، وهي إطار عمل مبني على متصفحات Chromium يتخفى في صورة إضافة “إشارات مرجعية ذكية”. تتطلب الأداة وصولاً مسبقاً بامتيازات إدارية أو تنفيذ تعليمات برمجية على الجهاز، حيث يقوم المثبّت بحقن الإضافة مباشرة في ملفات تعريف Chrome وEdge، متجاوزاً فحص متجر الإضافات عبر تزوير قيم سلامة ملف Secure Preferences. كما يستخدم البرنامج أداة Native Messaging لتوسيع قدراته من مراقبة المتصفح إلى تنفيذ أوامر على مستوى النظام وإدارة الملفات.
قدرات البرمجية ووظائفها
بمجرد التثبيت، يتصل عميل PEEP بخادم التحكم (C2) كل 30 ثانية عبر بروتوكول HTTP غير مشفر، ويقوم بـ:
- جمع سجل التصفح وبيانات الجلسات وملفات تعريف الارتباط.
- تنفيذ أوامر النظام عبر ملف nm_host.exe.
- مراقبة علامات التبويب النشطة وتعديل صفحات الويب.
- سرقة بيانات الاعتماد واختطاف الجلسات.
الإضافة تعمل كوكيل رئيسي عبر معرف (ID: ejkndncpkdcjcikfhiamcdehdoegilbj)، وتستعين بسكربت محتوى (content.js) مدمج في جميع الصفحات النشطة.
تقنيات التلاعب والاستمرارية
للحفاظ على الاستمرارية، تعتمد PEEP على عدة أساليب:
- Sideloading وتفعيل وضع المطور.
- سياسات ExtensionInstallForcelist وExtensionSettings.
- تعديل ملف Secure Preferences لضمان التفعيل التلقائي عند تشغيل المتصفح.
- استخدام سكربتات PowerShellمثل install_silent.ps1 وpatch_secure_prefs.ps1 وforce_enable.ps1.
- نسخة Python (patch_secure_prefs_linux.py) لاستهداف بيئات Linux.
البنية التحتية والوظائف الإضافية
تتضمن نقاط النهاية التي يستخدمها PEEP:
- /api/register لتسجيل الإصابة./api/agents/<id>/heartbeat لإرسال تفاصيل النظام والمتصفح./api/extension_update/ لتحديث الإضافة.
/api/exfil لتسريب البيانات مثل الكوكيز وسجل التصفح وعنوان الـ IP.
/login لتوفير واجهة دخول إلى لوحة التحكم على المنفذ 5001.
كما أظهرت التحليلات وجود إشارات إلى استخدام إطار عمل مفتوح المصدر RedExt كأساس، مع توسعات خاصة مثل قناة التحديث ومجموعة أوامر أوسع، ما يجعل PEEP نسخة مشتقة أكثر تطوراً.
خطورة الاستغلال
تعمل PEEP في سياق المستخدم داخل عملية المتصفح الموقعة، ما يسمح لها بتجاوز أنظمة الكشف التي تعتمد على التحقق من التواقيع. هذا يجعل المتصفح نفسه نقطة ارتكاز للهجوم، حيث يتحول إلى أداة وصول عن بُعد لتنفيذ أوامر النظام وسرقة بيانات الاعتماد. حتى الآن لم تُحدد الجهة المسؤولة عن تطويرها، لكن وجود آثار باللغة الصينية في الشيفرة يشير إلى فاعل تهديد ناطق بالصينية.
