كشفت تقارير أمنية حديثة عن تصاعد خطير في نشاط الإضافات الخبيثة الخاصة بمتصفحات الإنترنت، بعد رصد حملات واسعة النطاق استهدفت ملايين المستخدمين عبر متصفحي Google Chrome وMozilla Firefox، مستغلة ثقة المستخدمين في متاجر الإضافات الرسمية لجمع البيانات ومراقبة نشاط التصفح وسرقة معلومات حساسة، بل وحتى الاستيلاء على محافظ العملات الرقمية.
وتسلط هذه الاكتشافات الضوء على تحول متزايد في مشهد التهديدات السيبرانية، حيث أصبحت إضافات المتصفحات أداة فعالة للتجسس الرقمي وجمع البيانات التجارية وتحقيق أرباح غير مشروعة، مستفيدة من الصلاحيات الواسعة التي يمنحها المستخدمون لهذه الإضافات أثناء تثبيتها.
حملة Searchjacked تستهدف 13.4 مليون مستخدم
أبرز الحملات المكتشفة تحمل اسم Searchjacked، وهي عملية واسعة النطاق كشفت عنها شركة Socket الأمنية، وشملت 319 إضافة لمتصفح جوجل كروم بإجمالي يتجاوز 13.4 مليون عملية تثبيت معلنة.
واعتمدت الحملة على اختطاف عمليات البحث التي يجريها المستخدمون وإعادة توجيهها عبر خوادم تتبع وسيطة قبل وصولها إلى محركات البحث المستهدفة. وقد مكّن ذلك مشغلي الحملة من جمع استعلامات البحث الخاصة بالمستخدمين وتتبع نشاطهم الرقمي، إلى جانب الاستفادة من برامج العمولات والإحالات التي تقدمها محركات البحث مثل Microsoft Bing وYahoo.
وتُعد هذه الحملة امتداداً لاكتشاف سابق جرى الإعلان عنه في أبريل 2025، حين تم الكشف عن 57 إضافة فقط تضم نحو ستة ملايين مستخدم. أما التحقيقات الجديدة فقد أضافت 264 إضافة أخرى لم تكن معروفة سابقاً، ما رفع حجم الضحايا المحتملين بصورة كبيرة.
والمثير للانتباه أن هذه الإضافات موجودة بالفعل داخل متجر Chrome Web Store، لكنها غير مدرجة في نتائج البحث التقليدية داخل المتجر، ما يجعل العثور عليها يتم غالباً من خلال روابط مباشرة أو إعلانات مشبوهة تظهر على شكل نوافذ منبثقة أو مخفية في مواقع الإنترنت المختلفة.
ويشير هذا الأسلوب إلى محاولة متعمدة للابتعاد عن آليات الاكتشاف التقليدية مع الاستمرار في الاستفادة من الثقة التي يمنحها المستخدمون للإضافات المستضافة داخل المنصة الرسمية لجوجل.
إضافات فايرفوكس تنتحل محافظ العملات الرقمية
في تطور موازٍ، تمكن الباحثون من اكتشاف مجموعة من الإضافات الخبيثة لمتصفح فايرفوكس صممت خصيصاً لاستهداف مستخدمي العملات المشفرة.
وقامت هذه الإضافات بانتحال هوية عدد من المحافظ الرقمية الشهيرة، من بينها Phantom وJupiter وBitget، عبر تصميم واجهات تبدو مطابقة تقريباً للتطبيقات الأصلية.
وبمجرد قيام المستخدم بتثبيت الإضافة والتفاعل معها، تبدأ في جمع عبارات الاسترداد السرية (Recovery Phrases) والمفاتيح الخاصة للمحافظ الرقمية، وهي المعلومات التي تمثل المفتاح الأساسي للوصول إلى الأصول المشفرة.
ويُعتبر هذا النوع من الهجمات من أخطر أشكال سرقة العملات الرقمية، لأن امتلاك عبارة الاسترداد أو المفتاح الخاص يكفي عادة لمنح المهاجم سيطرة كاملة على الأصول المخزنة داخل المحفظة دون الحاجة إلى اختراقات إضافية.
كما تعكس هذه الحملة استمرار اهتمام الجماعات الإجرامية بالأصول الرقمية التي أصبحت هدفاً رئيسياً للهجمات الإلكترونية خلال السنوات الأخيرة بسبب قيمتها المالية المرتفعة وصعوبة استرداد الأموال المسروقة.
حملة OffiDocs تراقب نشاط التصفح بالكامل
في حملة ثالثة منفصلة وثقها موقع “Am I Being Pwned?”، تم اكتشاف 60 إضافة لمتصفح كروم موزعة عبر أربعة حسابات نشر مختلفة، بإجمالي نحو 2.3 مليون عملية تثبيت.
وتحمل هذه العملية اسم OffiDocs، حيث تنتحل الإضافات صفة أدوات إنتاجية وبرامج تحرير مستندات تبدو مفيدة للمستخدمين في الأعمال المكتبية.
لكن خلف هذه الوظائف الظاهرية، تقوم الإضافات بجمع جميع عناوين المواقع التي يزورها المستخدم وإرسالها إلى جهات خارجية.
وأظهرت التحقيقات أن البيانات المجموعة تتم مشاركتها مع شركاء تجاريين وأطراف أخرى، بما يحول المستخدم فعلياً إلى مصدر مستمر للبيانات التسويقية والتحليلية دون علمه الكامل بحجم المعلومات التي يتم جمعها عنه.
وفي بعض الحالات، تقوم الإضافات بإعادة توجيه المستخدمين تلقائياً إلى صفحات ومواقع تابعة لمشغلي الحملة على نطاقات مثل redcoolmedia.net وrunapps.org، وهو ما يسمح بتوليد زيارات اصطناعية وجني عوائد إعلانية إضافية.
تهديدات متزايدة داخل المتاجر الرسمية
تكشف هذه الحملات الثلاث عن تحدٍّ متزايد يواجه شركات تشغيل المتصفحات ومنصات توزيع الإضافات، إذ إن وجود الإضافة داخل متجر رسمي لم يعد ضمانة كافية لسلامتها.
فالإضافات الخبيثة أصبحت تعتمد على أساليب أكثر تعقيداً لإخفاء أنشطتها أو تقديم وظائف تبدو شرعية في الظاهر بينما تُستخدم في الخلفية لجمع البيانات أو مراقبة المستخدمين أو تنفيذ عمليات احتيال رقمية.
كما أن بعض هذه الإضافات لا تُصنف رسمياً كبرمجيات خبيثة بالمعنى التقليدي، بل تعمل ضمن مناطق رمادية تستغل الموافقات التي يمنحها المستخدم أثناء التثبيت للوصول إلى بيانات حساسة أو استخدام المتصفح كأداة لتوليد الأرباح.
ويؤكد خبراء الأمن السيبراني أن المستخدمين يجب أن يتعاملوا بحذر شديد مع أي إضافة تُطلب منها صلاحيات واسعة مثل قراءة جميع البيانات على المواقع التي تتم زيارتها أو التحكم في نتائج البحث أو الوصول إلى بيانات المحافظ الرقمية.
كما ينصح بمراجعة الأذونات الممنوحة بشكل دوري، والاعتماد على الإضافات المعروفة من مطورين موثوقين، ومراقبة أي سلوك غير معتاد في المتصفح مثل إعادة التوجيه غير المبررة أو ظهور نتائج بحث مختلفة عن المعتاد أو طلبات متكررة للوصول إلى معلومات حساسة.
