تعد ميزات الأمان المدمجة في البرمجيات التي نعتمد عليها يومياً خط الدفاع الأول لحماية خصوصيتنا، حيث يبذل المطورون جهوداً حثيثة لسد الثغرات. ومع ذلك، يبتكر المهاجمون باستمرار طرقاً ملتوية للالتفاف على هذه الحماية، وغالباً ما يكون ذلك عبر استغلال الإضافات الخارجية التي نثبتها لتعزيز كفاءة أدواتنا المفضلة، وهو ما جعل أحد أشهر محرري النصوص في العالم تحت مجهر التهديد مؤخراً.
- ✅ اكتشاف حملة منظمة تستغل إضافات Notepad++ لزرع برمجيات تجسس.
- ✅ أداة "LunchPoke" الخبيثة تمنح المخترقين وصولاً سرياً إلى ملفات النظام.
- ✅ الهجوم يبدأ بملفات VBS مخادعة تظهر للمستخدم كملفات PDF عادية.
- ✅ ضرورة التحديث الفوري للإصدارات الأخيرة من Notepad++ و WinRAR لتجنب الإصابة.
يواجه مستخدمو برنامج Notepad++، الذي يعد من أكثر الأدوات شعبية بين المبرمجين والكتاب على حد سواء، تحدياً أمنياً كبيراً. فقد كشف خبراء في الأمن السيبراني عن حملة هجومية متطورة تستغل نظام الإضافات في البرنامج لتثبيت برامج خبيثة في خلفية النظام دون علم المستخدم.
وفقاً لنتائج الأبحاث الأخيرة، يقوم المهاجمون بتوزيع ملفات مضغوطة تحتوي على نسخة أصلية من برنامج Notepad++ ولكن مدمج معها أداة خبيثة تسمى LunchPoke. هذه الأداة تتخفى في شكل إضافة برمجية اعتيادية، مما يسمح لها بالعمل بصمت تام للوصول إلى بيانات الكمبيوتر وإصابته ببرمجيات تجسس إضافية.
اللافت في هذا الهجوم أن المهاجمين لا يخترقون الموقع الرسمي للبرنامج مباشرة، بل يعتمدون على تقنيات الهندسة الاجتماعية عبر توزيع ملفات مضغوطة (ZIP) تحتوي على نص برمجي من نوع VBS. هذا النص يتم تمويهه ليظهر للمستخدم كملف PDF، وبمجرد محاولة فتحه، يبدأ النظام في تنزيل حزمة "Evernote.zip" التي تحتوي على البرنامج والإضافات الملغومة.
التفاصيل التقنية لعملية اختراق Notepad++
تعتمد عملية الهجوم على دمج مكتبة ديناميكية خبيثة تحمل اسم NppExport.dll داخل مجلد الإضافات. بمجرد تشغيل البرنامج، يتم تحميل هذه المكتبة تلقائياً كجزء من وظائف البرنامج القياسية. تقوم هذه المكتبة بإنشاء "مهام مجدولة" (Scheduled Tasks) في نظام ويندوز، مما يضمن استمرار عمل البرمجية الخبيثة حتى بعد إغلاق البرنامج أو إعادة تشغيل الجهاز.
تستهدف هذه العملية استغلال الثغرة الأمنية المعروفة باسم CVE-2025-56383، والتي تركز على اختطاف مكتبات DLL في الإصدار 8.8.3 من البرنامج. كما تشمل الحمولة الخبيثة أدوات لاستخراج الملفات باستخدام WinRAR و 7-Zip، مما قد يؤدي في النهاية إلى استنزاف موارد الجهاز مثل الذاكرة العشوائية (RAM) والمعالج، بالإضافة إلى سرقة البيانات الحساسة.
لحماية نفسك من هذه التهديدات، يشدد الخبراء على ضرورة تحديث البرامج التالية إلى أحدث إصداراتها فوراً:
- تحديث Notepad++ إلى الإصدار 8.9.7 أو أحدث.
- تحديث برنامج 7-Zip إلى الإصدار 26.02.
- تحديث برنامج WinRAR إلى الإصدار 7.23.
ما هي أداة LunchPoke وكيف تصيب جهازي؟
أداة LunchPoke هي برمجية خبيثة مصممة لتعمل كإضافة وهمية لبرنامج Notepad++. تصل إلى جهازك عادةً عبر ملفات مضغوطة يتم تحميلها من مصادر غير رسمية، وتختبئ خلف ملفات تبدو قانونية مثل PDF لخدع المستخدم وتثبيت نفسها في خلفية النظام.
هل الإصدارات القديمة من Notepad++ غير آمنة؟
نعم، الإصدارات القديمة وخاصة الإصدار 8.8.3 تحتوي على ثغرات تسمح للمخترقين بتبديل مكتبات DLL الأصلية بأخرى خبيثة. لذا فإن البقاء على إصدار قديم يجعل جهازك هدفاً سهلاً لهذه الهجمات المجدولة.
كيف يمكنني التأكد من أن جهازي لم يتعرض للاختراق؟
يجب عليك فحص مجلد الإضافات (Plugins) داخل مسار تثبيت Notepad++، والبحث عن أي ملفات DLL غير معروفة. كما ينصح بمراقبة "جدولة المهام" في ويندوز لأي مهام مريبة تعمل تلقائياً، واستخدام برنامج حماية محدث لإجراء فحص كامل للنظام.
لماذا يتم استهداف برامج ضغط الملفات مثل WinRAR و 7-Zip أيضاً؟
يعتمد المهاجمون على هذه البرامج لاستخراج الحمولات الخبيثة المشفرة داخل ملفات RAR أو ZIP. استغلال الثغرات في هذه البرامج يسهل عملية فك ضغط البرمجيات الخبيثة وتشغيلها دون أن تكتشفها بعض أنظمة الحماية التقليدية.
🔎 في الختام، يظهر هذا التهديد أن الحذر عند التعامل مع الإضافات والملفات المحملة من الإنترنت هو ضرورة قصوى حتى مع البرامج الموثوقة. تأكد دائماً من تحميل أدواتك من مصادرها الرسمية، ولا تتجاهل تنبيهات التحديث الأمني، فالثواني التي تستغرقها في التحديث قد توفر عليك ساعات من محاولات استعادة بياناتك المخترقة.
قم بالتعليق على الموضوع