Dr.Web يكشف برمجيات خبيثة على GitHub أصابت أكثر من 2000 حاسوب
أدوات أمنية مزيفة استُخدمت لنشر برمجيات خبيثة تخفي أكوادها في ملفات Visual Studio وشيفرة Python وGo، حسب تحليل Dr.Web.
نشرت شركة الأمن الروسية Dr.Web في 5 نوفمبر 2026 تحليلاً تقنياً يكشف أن برمجيات خبيثة وُزّعت عبر مشاريع تطوير ضارة مستضافة على GitHub، وأصابت أكثر من 2000 حاسوب يعمل بنظام Windows خلال الحملة بأكملها، وفق ما نقلته dailysecu.com.
تنكّر المهاجمون في صورة أدوات أمنية، منها أدوات لأتمتة فحص الشبكات واختبار أنظمة الحماية وتحليل السجلات. ومن بين المستودعات المزيفة التي رصدها التحليل مستودع يقدّم نفسه كأداة لتنسيق وعرض مخرجات ماسح الشبكات Fscan.
أُخفي الكود الخبيث داخل ملفات مشروع Visual Studio (من نوع .csproj و.suo) وفي شيفرة Python وGo، واستغل بعض المشاريع خاصية PreBuildEvent كي تُنفَّذ أوامر خبيثة قبل تجميع البرنامج. وفي شيفرة Python وGo دُسّ الكود الخبيث بعد مسافات بيضاء طويلة بهدف التهرب من مراجعة الكود، فيما قدّم المهاجمون تعليمات بتركيب Visual Studio واستنساخ المستودع لدفع المستخدمين إلى تشغيل المشاريع الضارة.
تحميل متعدد المراحل وبرمجيات تجسس
يشغّل سكربت PowerShell تنزيل أرشيف يثبّت برنامجاً خبيثاً باسم Microsoft.exe صُنّف بأنه Trojan.Loader.3261، وهو محمّل مبني على Electron وكان أحدث إصدار منه عند التحليل 1.4.5. ويُعطّل البرنامج Windows Defender وUAC واستعادة النظام وخدمة Volume Shadow Copy، ويلجأ إلى أساليب تهرب منها انتحال العملية الأم وإزالة نقاط الاعتراض وتعطيل ETW وAMSI.
وثبّتت الحملة بابين خلفيين من نوع AsyncRAT على منفذين شبكيين مختلفين، وكُشف أن السبب المُبلَّغ عنه هو تمكين مهاجمين اثنين من التحكم في الجهاز المصاب ذاته. كما يستبدل Trojan.Clipper.688 عناوين محافظ العملات الرقمية المنسوخة بعناوين يختارها المهاجم، بينما يجمع JS.Stealer.191 بيانات المتصفح وإعدادات VPN وبيانات اعتماد FTP من FileZilla وMobaXterm وTotal Commander، إضافة إلى رموز Discord وملفات تطبيقات المراسلة ومعلومات حسابات الألعاب. تُضغط البيانات المسروقة وتُرسل إلى المهاجم عبر بوت على Telegram.
ووفق التحليل يحاول البرنامج إزالة منتجات أمنية تشمل ESET وMcAfee وMalwarebytes، ويحجب الوصول إلى خوادم شركات الأمن. ولم يُفصح عن التوزيع الجغرافي للحواسيب المصابة ولا عمّا إذا وقعت أضرار في كوريا. وكان المهاجمون قد استخدموا GitHub لنشر البرمجيات الخبيثة لنحو عامين قبل التقرير، بدءاً من ألعاب البلوكتشين وبوتات أتمتة الألعاب وبرامج الغش، قبل أن يوسّعوا أهدافهم مؤخراً نحو مختصي الأمن بأدوات تتنكر كأدوات تحليل شبكات واختبار اختراق.
أسئلة سريعة
كم عدد الحواسيب المصابة بالبرمجيات الخبيثة؟
أعلنت Dr.Web أن الحملة أصابت أكثر من 2000 حاسوب يعمل بنظام Windows، وليس فقط الأجهزة التي وصلتها الأدوات الأمنية المزيفة المكتشفة حديثاً.
كيف تنتشر البرمجيات الخبيثة عبر GitHub؟
عبر مشاريع تطوير ضارة تتنكر كأدوات أمنية، وتخفي الكود الخبيث في ملفات مشروع Visual Studio وفي شيفرة Python وGo، مع تعليمات تدفع المستخدم إلى استنساخ المستودع وتشغيله.
هل كُشف التوزيع الجغرافي للمصابين؟
لا، لم يُفصح التحليل عن التوزيع الجغرافي للحواسيب المصابة ولا عمّا إذا وقعت أضرار في كوريا.