قد يتحول ملف بسيط، يبدو للوهلة الأولى كفاتورة روتينية أو إيصال بنكي عادي، إلى بوابة عبور خطيرة لبرمجيات خبيثة متطورة تمتلك القدرة على التسلل إلى متصفح جوجل كروم دون أدنى علم من المستخدم. هذا هو التهديد الذي تمثله برمجية KREMLIN الخبيثة، والتي تعتمد على استراتيجية تزييف المستندات التجارية لإصابة أجهزة الكمبيوتر والسيطرة على نشاط المستخدم الرقمي ضمن معايير الأمن السيبراني الحديثة.
- ✅ برمجية KREMLIN تنتحل صفة مستندات مالية بصيغة جافا سكريبت لخداع الضحايا.
- ✅ القدرة على تثبيت إضافات خبيثة في متصفحات Chrome و Edge دون إذن المستخدم.
- ✅ سرقة ملفات تعريف الارتباط (Cookies)، كلمات المرور، وجلسات التصفح النشطة بالكامل.
- ✅ التخفي تحت اسم "AVSync" للقيام بعمليات تجسس وتسجيل ضربات المفاتيح.
بمجرد نجاح عملية الإصابة، يقوم البرنامج فوراً بتثبيت إضافة خبيثة مصممة خصيصاً لسرقة كلمات المرور وملفات تعريف الارتباط وجلسات التصفح الحساسة. وقد تم اكتشاف هذا التهديد من قبل الباحثين في مختبرات Elastic Security Labs، الذين أكدوا أن هذه البرمجية نشطة منذ منتصف عام 2025، حيث تم استخدامها في حملات واسعة النطاق انتحلت صفة مؤسسات بنكية مرموقة.
آلية الهجوم: كيف يتم خداع المستخدم؟
يوضح الخبراء أن الهجوم يبدأ بملف "جافا سكريبت" (JavaScript) يتخفى في هيئة فاتورة أو إيصال دفع بنكي أو مستند تجاري رسمي. وعند محاولة الضحية فتح الملف، تظهر رسالة خطأ وهمية توحي بأن الملف تالف أو غير قابل للقراءة لخداع المستخدم وصرف انتباهه، بينما يقوم البرنامج الخبيث في الخلفية بتنزيل مكونات إضافية والتأكد من تجاوز فحص الأنظمة الأمنية لتثبيت نفسه بشكل دائم على الجهاز.
ما يثير الدهشة حقاً في برمجية KREMLIN هو قدرتها الفائقة على زرع إضافة خبيثة في متصفحي "كروم" و"إيدج" دون طلب أي إذن. ينتظر البرنامج الخبيث لحظة إغلاق المتصفح، أو قد يقوم بإجباره على الإغلاق قسرياً إذا لم يتم استخدامه لفترة معينة. بعد ذلك، يقوم بنسخ الإضافة إلى ملفات تعريف المتصفح وتعديل الإعدادات البرمجية لمتصفح "Chromium" بحيث يتم تحميل الإضافة تلقائياً وكأنها جزء شرعي وموثق من المتصفح، وهو ما يتطلب وعياً عالياً بأساليب حماية المتصفح.
قدرات تجسسية مرعبة داخل الإضافة الخبيثة
بمجرد اكتمال التثبيت، تتخفى الإضافة تحت مسمى "AVSync" وتبدأ في ممارسة أنشطة تخريبية تشمل جمع ملفات تعريف الارتباط، بيانات الجلسات، والتخزين المحلي. والأخطر من ذلك هو قدرتها على تسجيل كل ما يكتبه المستخدم في النماذج الإلكترونية، بما في ذلك كلمات المرور السرية للحسابات البنكية ومواقع التواصل الاجتماعي.
ولا تتوقف القدرات عند هذا الحد، بل يمكن للبرمجية التقاط صور لشاشة المستخدم (Screenshots)، والحصول على الكود المصدري للصفحات التي يزورها، والاطلاع على علامات التبويب المفتوحة وسجل التصفح الكامل. كما يمكنها إعادة توجيه النقرات وتعديل محتوى المواقع التي يتصفحها المستخدم عبر حقن أكواد برمجية خبيثة بشكل مباشر.
نصائح الوقاية وإجراءات السلامة الرقمية
ينصح الباحثون الأمنيون بضرورة توخي الحذر الشديد عند التعامل مع أي ملفات "جافا سكريبت" تصل عبر البريد الإلكتروني أو تطبيقات المراسلة، خاصة تلك التي تدعي أنها مستندات مالية. ومن الضروري جداً الالتزام بتحديث نظام التشغيل ويندوز والمتصفح بشكل دوري لسد الثغرات الأمنية، بالإضافة إلى استخدام برامج مكافحة برمجيات خبيثة موثوقة ومراجعة قائمة الإضافات المثبتة في المتصفح بانتظام.
في حال ملاحظة وجود كلمات مرور غير معروفة أو نشاط غريب في المتصفح، يجب حذف الإضافات المشبوهة فوراً وإجراء فحص شامل للجهاز. وإذا ثارت شكوك حول تسرب كلمات المرور أثناء فترة الإصابة، فمن الضروري تغييرها فوراً باستخدام جهاز آخر "نظيف" ومراجعة كافة الجلسات المفتوحة في الحسابات الحساسة لضمان تأمين الحسابات.
كيف يمكنني معرفة ما إذا كان متصفحي مصاباً ببرمجية KREMLIN؟
يمكنك التحقق من ذلك عبر مراجعة قائمة الإضافات (Extensions) في متصفح كروم أو إيدج؛ ابحث عن أي إضافة تحمل اسم "AVSync" أو أي إضافة لم تقم بتثبيتها بنفسك. كما أن الإغلاق المفاجئ للمتصفح دون سبب واضح قد يكون علامة على محاولة البرمجية حقن ملفاتها.
لماذا تستخدم البرمجية ملفات جافا سكريبت بدلاً من الملفات التنفيذية التقليدية؟
تستخدم ملفات جافا سكريبت لأنها غالباً ما تبدو أقل إثارة للريبة لأنظمة الحماية التقليدية، ولأنها تسمح بتنفيذ أوامر برمجية مباشرة داخل بيئة نظام التشغيل لتحميل ملفات أكثر خطورة وتعديل إعدادات المتصفح بسهولة.
هل تغيير كلمة المرور كافٍ لحماية حسابي بعد الإصابة؟
تغيير كلمة المرور خطوة أساسية، ولكن يجب أولاً تنظيف الجهاز تماماً من البرمجية الخبيثة وحذف الإضافة الوهمية. إذا قمت بتغيير كلمة المرور والجهاز لا يزال مصاباً، فستتمكن البرمجية من سرقة الكلمة الجديدة فور كتابتها.
ما هي الخطورة الحقيقية لسرقة "ملفات تعريف الارتباط" (Cookies)؟
سرقة ملفات تعريف الارتباط تسمح للمهاجمين بـ "اختطاف الجلسة"، مما يعني الدخول إلى حساباتك (مثل بريدك الإلكتروني أو حسابك البنكي) دون الحاجة إلى إدخال اسم المستخدم أو كلمة المرور، حيث يظهر للموقع أن المهاجم هو صاحب الحساب الفعلي.
🔎 في الختام، تظل اليقظة الدائمة هي الدرع الأقوى في مواجهة التهديدات الرقمية المتطورة مثل برمجية KREMLIN. إن الحفاظ على تحديث البرامج والشك في الروابط والملفات المجهولة ليس مجرد خيار، بل هو ضرورة حتمية لحماية خصوصيتك وبياناتك المالية من السرقة في هذا العالم الرقمي المليء بالمخاطر.
قم بالتعليق على الموضوع