برمجية خبيثة للنقل: تطبيق اجتماع ذكاء اصطناعي مزيف يسرق محافظ العملات المشفرة من مقدمي طلبات وظائف Web3
2026/07/30 12:05:00
مقابلات وظيفية اصطناعية مزيفة تستهدف محترفي Web3 ببرمجيات خبيثة لسرقة العملات المشفرة
حدد باحثو الأمن في SlowMist حملة معقدة لسرقة المعلومات تستهدف محترفي Web3 من خلال عمليات توظيف وهمية. يتنكر المهاجمون كمُوظفين، وينظمون مقابلات، ويوجهون المرشحين إلى موقع ويب على relay.lc يروج لمنصة اجتماعات مدعومة بالذكاء الاصطناعي تُسمى Relay. تدّعي المنصة ميزات مثل التحويل الفوري، والملاحظات التعاونية، والملخصات المولدة بالذكاء الاصطناعي، وعملاء سطح المكتب لـ Windows وmacOS.
بمجرد قيام المرشحين بتنزيل وتشغيل المثبتات، يتم نشر برنامج ضار مصمم لاستخراج بيانات اعتماد المتصفح، وبيانات محفظة العملات المشفرة من عشرات الإضافات، ومحتويات مفتاح macOS، وجلسات تيليغرام، ومعلومات النظام. تم تحذير MistEye من هذه الحملة بعد تقارير من المجتمع وخضعت لتحليل ثابت مفصل للمثبتات. تُظهر هذه العملية كيف يجمع المهاجمون بين الهندسة الاجتماعية والحيل التقنية الخاصة بالمنصة لتجاوز تحذيرات الأمان القياسية وجمع بيانات العملات المشفرة ذات القيمة العالية من الباحثين عن عمل الذين يعتقدون أنهم يشاركون في خطوة توظيف روتينية.
الاتصال من مُجنّد مزيف يُهيئ الأرضية للعدوى
يبدأ المهاجمون بالتواصل مع محترفي Web3 عبر الشبكات المهنية أو منصات الرسائل بعروض مقابلات لوظائف تبدو شرعية. وتستشهد الرسائل بأسماء شركات مقنعة ووصف وظيفي مخصص لمطوري البلوكشين أو باحثي الأمن أو متخصصي النظام البيئي. وبعد تبادل أولي، يوجه المُوظِّف المرشح إلى relay.lc للمرحلة التالية من العملية، مُقدِّمًا الموقع كأداة ضرورية للمقابلة المرئية. ويعرض الموقع لغة تسويقية مصقولة تصف Relay كمنصة تعاون متقدمة بالذكاء الاصطناعي، مع روابط تنزيل لأنظمة تشغيل سطح المكتب الرئيسية. وتستغل هذه الطريقة التوقع بأن التوظيف عن بُعد غالبًا ما يتضمن برامج اجتماعات متخصصة، مما يقلل من احتمال أن يفحص المرشحون النطاق أو المثبت.
أدى تقرير المجتمع عن سلوك مشبوه إلى تصنيف MistEye للموقع كموقع عالي المخاطر وبدء مراجعة فنية كاملة للملفات الموزعة. إن غياب أي وظيفة اجتماع حقيقية داخل الحزم يؤكد أن العرض الكامل يخدم فقط كوسيلة تسليم للحمولة اللاحقة. ويؤكد الباحثون أن الهندسة الاجتماعية تنجح بالضبط لأن طلب تثبيت البرنامج يبدو عاديًا في سياق مقابلة تقنية عن بُعد. وبالتالي، يمنح الضحايا الذين يتقدمون البرمجيات الخبيثة نقطة دخول أولية تحت افتراض أنهم يجهزون فقط لمحادثة مع صاحب عمل محتمل.
تصميم موقع Relay يحاكي أدوات التعاون الشرعية
تُعيد صفحات الجمهور على relay.lc بدقة تكرار النمط البصري والنصي لتطبيقات الإنتاجية الراسخة. وتُبرز الوصفات الترجمة الفورية، وتدوين الملاحظات المشتركة، وتوليد تلقائي للإجراءات، وعملاء سطح المكتب السلس، مما يخلق انطباعًا بخدمة اجتماعات حديثة مدعومة بالذكاء الاصطناعي. تظهر أزرار التنزيل لنظامي Windows وmacOS بشكل بارز، مما يعزز فكرة أن التثبيت شرط أساسي للمشاركة. لا تظهر علامات تحذيرية واضحة مثل أخطاء نحوية أو علامات تجارية ناقصة على الصفحات السطحية، مما يساعد الموقع على المرور بسهولة على الفحص العابر. ومع ذلك، بمجرد الحصول على الملفات، يتبين أن كلا المثبتين لا يحتويان على تطبيق اجتماعي فعال.
حزمة Windows هي ملف تنفيذي ذاتي الاستخراج يعتمد على إطار Electron ويعرض واجهة تقدم فقط، بينما تخفي صورة القرص الخاصة بـ macOS ملفها التنفيذي داخل دليل يُخفيه Finder افتراضيًا. تُظهر التحليلات الثابتة للرمز عدم وجود ميزات تعاون مشروعة، بل فقط إجراءات لجمع البيانات وإرسالها عبر الشبكة. يُعد هذا التناقض بين العرض التسويقي والمحتوى الفعلي للملف الثنائي جوهر فعالية الحملة. إن مقدمي الوظائف الذين استثمروا بالفعل وقتًا في عملية التوظيف أكثر عرضة لإكمال خطوات التثبيت دون التحقق العميق. وبالتالي، يستغل التصميم الشرعية البصرية والالتزام النفسي لزيادة معدل العدوى بين المهنيين المستهدفين.
مسار تثبيت macOS يزيل حمايات الحجر
على نظام macOS، يحتوي صورة القرص التي تم تنزيلها على نص برمجي قصير مسمى Installer.file، واختصار إلى Terminal، ودليل مخفي باسم .back يحتوي على الملف التنفيذي الفعلي بحجم 5.2 ميجابايت. يُطلب من المستخدمين فتح Terminal، وسحب النص البرمجي إلى النافذة، ثم الضغط على Enter. يقوم النص البرمجي بنسخ الملف الثنائي المخفي إلى موقع مؤقت، وحذف سماته الموسعة باستخدام الأمر xattr، ومنح صلاحيات التنفيذ، ثم تشغيله بصمت في الخلفية باستخدام nohup. يؤدي إزالة سمة الحجر الصحي إلى تعطيل تحذير macOS القياسي الذي يظهر عادةً عند فتح ملف تم تنزيله من الإنترنت لأول مرة. لا يتطلب الأمر أي ثغرة نظام؛ فالمستخدم نفسه ينفذ الأوامر التي تُعطل الحماية.
بمجرد التشغيل، يعرض الحمل نافذة حوار AppleScript مصممة على شكل "خطأ في التطبيق" تدّعي وجود مشكلات توافق مع إصدار macOS الحالي وتطالب بكلمة مرور النظام. يتم التقاط كلمة المرور المدخلة وربطها بنسخة من قاعدة بيانات محفظة تسجيل الدخول لإرسالها لاحقًا. وبما أن محفظة تسجيل الدخول عادةً ما تُفتح باستخدام نفس كلمة المرور، فإن هذا المزيج يوفر بشكل فعال كل من البيانات المشفرة ووسيلة فك تشفيرها. تستهدف إجراءات جمع إضافية مخازن المتصفح، وامتدادات المحافظ، وملفات جلسات Telegram، ومحتوى ملاحظات Apple الذي قد يحتوي على عبارات استعادة أو مفاتيح. وقد صُممت العملية لإكمال نقل البيانات خلال تنفيذ واحد فقط، بدلاً من إنشاء استمرارية طويلة الأمد عبر إعادة التشغيل.
يعتمد مسار ويندوز على التقدم المحاكى وامتيازات مرفوعة
يعرض مثبّت Windows شريط تقدم مُوسّم بعنوان "تحديث" يتحرك وفقًا لمؤقت عشوائي وليس وفقًا لأي نشاط تنزيل أو تحقق فعلي. تدور رسائل الحالة مثل "تحميل المكونات الأساسية" و"التحقق من الملفات المحلية" ميكانيكيًا بينما يصعد الشريط نحو 80 بالمائة. عندما يتم الوصول إلى هذا العتبة، يصدر الكود أمر PowerShell يطلب صلاحيات المسؤول ويُطلق ملفًا ثنائيًا غير موقّع بحجم 116 ميجابايت يُسمى updater.exe. يحاول العملية المرفوعة أولاً إنشاء استمرارية عن طريق نسخ نفسها إلى موقع مخفي ضمن دليل AppData للمستخدم وإنشاء إدخالات في مفتاح Run وRunOnce و dossier Startup، وكلها مُسمّاة لتبدو كمكونات تحديث Windows.
بعد تحقيق الاستمرارية، يمسح البرمجية الخبيثة عمليات Chrome وBrave الجارية بحثًا عن معلمات مرتبطة بامتدادات المحافظ غير المقفلة، ثم يعد القيم المستخرجة لإرسالها مع معرف الجهاز. ويحتوي نفس الحمل على وحدات لجمع بيانات اعتماد المتصفح، والكوكيز، وبيانات Telegram، ومعلومات النظام. وبما أن واجهة التقدم لا تعكس أبدًا نشاطًا حقيقيًا، فلا يمتلك المستخدم أي مؤشر بصري يدل على أن التثبيت انحرف عن تحديث برنامج طبيعي. إن مزيج الضغط الاجتماعي الناتج عن المقابلة الجارية ومظهر تحديث مألوف يشجع على إكمال طلب الترقية. بمجرد منح صلاحيات المسؤول، تكتسب البرمجية الخبيثة القدرة على الاستمرار عبر إعادة التشغيل والوصول إلى ذاكرة العمليات المحمية.
استهداف امتداد المحافظ يغطي العملاء الرئيسيين للعملات المشفرة
يُضمن البرمجية الخبيثة جدولاً تطابقياً واسعاً لمعرفات إضافات المتصفح التي تُستشهد بها مئات المرات في الكود. ويشمل القائمة 286 معرفاً فريداً تتوافق مع محافظ العملات المشفرة الشهيرة مثل MetaMask وPhantom وTrust Wallet، بالإضافة إلى مديرات كلمات المرور مثل 1Password وLastPass وProton Pass وDashlane. وعلى كلا نظامي التشغيل، تستخرج منطقية الجمع كلمات المرور المحفوظة والكوكيز ورموز الجلسات وبيانات التعبئة التلقائية من Chrome وBrave وEdge وArc. ولإضافات المحافظ الخاصة، يبحث الكود عن حالات غير مقفلة أو مواد استرداد مخزنة يمكن استخدامها لسحب الأموال. وعلى نظام Windows، تركز عملية مسح ذاكرة العملية على حالات Chrome وBrave التي قد تحتوي على جلسات محافظ نشطة.
يشير مدى الاستهداف إلى أن عدوى واحدة ناجحة يمكن أن تُعرض عدة محافظ ومخازن بيانات اعتماد للخطر في نفس الوقت. يواجه المحترفون الذين يحتفظون بمحافظ قائمة على المتصفح لراحة الوصول، أو الذين يخزنون ملاحظات ذات صلة في تطبيقات النظام، تعرضًا متزايدًا. يُعطي التصميم أولوية لجمع سريع وشامل بدلاً من السرقة الانتقائية، مما يُعظم قيمة كل جهاز مخترق. لاحظ فرق الأمن أن إدراج امتدادات مدير كلمات المرور يوسع نطاق الضرر ليتجاوز الأصول الرقمية البحتة إلى الاستيلاء الشامل على الحسابات.
سرقة مفتاح الحافظة وجلسة تيليغرام تُضخم الضرر
بالإضافة إلى بيانات المتصفح، فإن نسخة macOS تقرأ بشكل محدد قاعدة بيانات مفتاح Keychain وتربطها بكلمة المرور التي تم الحصول عليها من خلال النافذة الوهمية. يسمح إرسال كلا العنصرين بنجاح بفك تشفير بيانات الاعتماد المخزنة عن بُعد. كما تستهدف ملفات جلسة Telegram Desktop الموجودة في دليل tdata؛ يمكن لامتلاك هذه الملفات تمكين استعادة جلسة نشطة على جهاز يتحكم فيه المهاجم. يتم جمع محتوى ملاحظات Apple عن طريق التنقل عبر الحسابات والمجلدات وحفظ نصوص الملاحظات كملفات HTML، مما يخلق خطرًا إذا كان المستخدمون قد سجلوا عبارات البذور أو مفاتيح API هناك.
يتم جمع معرّفات النظام مثل UUID للعتاد وعنوان IP والدولة لتحديد هوية جهاز الضحية. على ويندوز، تضمن آليات الاستمرارية استمرار إجراءات الجمع بعد إغلاق نافذة المقابلة الأولية. إن مزيج بيانات الاعتماد والجلسة والملاحظات يخلق مسارات متعددة لمزيد من الاختراق، بما في ذلك انتحال هوية الضحية في المحادثات المهنية أو الهجمات الثانوية ضد الجهات المتصلة. ويؤكد الباحثون أن النهج متعدد المتجهات هو نموذجي لبرامج سرقة المعلومات الحديثة المُحسّنة لأهداف Web3 ذات القيمة العالية.
غياب الاستمرارية طويلة الأمد على macOS يحد من بعض المخاطر
كشف التحليل الثابت للعينة الخاصة بـ macOS عن عدم وجود أي دليل على LaunchAgents أو LaunchDaemons أو آليات أخرى تستمر بعد إعادة التشغيل. يسمح الإطلاق باستخدام nohup للعملية بالاستمرار بعد إغلاق Terminal، لكن إعادة تشغيل النظام تُنهيها. يشير هذا الاختيار التصميمي إلى أن المشغلين يفضلون استخراج البيانات بسرعة خلال نافذة المقابلة المباشرة على البقاء المستمر. على النقيض من ذلك، تستثمر النسخة الخاصة بـ Windows جهدًا في ثلاث طرق مختلفة للبقاء. قد يعكس هذا الفرق قيودًا مرتبطة بالمنصة أو توازنًا محسوبًا بين الخفاء والموثوقية.
بالنسبة للضحايا الذين يعيدون تشغيل الأجهزة فور ملاحظة الشذوذ، قد يقتصر التهديد على البيانات التي جُمعت في الجلسة الأولى. ومع ذلك، فإن الاستيلاء الأولي على بيانات Keychain والمتصفح وTelegram يمكن أن يؤدي إلى خسائر لا رجعة فيها إذا تم تفريغ المحافظ قبل اتخاذ إجراءات التصحيح. عدم استمرارية التهديد لا يقلل من التهديد الفوري على الأموال المخزنة في المحافظ الساخنة أو ملحقات المتصفح. يبدو أن المشغلين يقبلون نافذة التشغيل الأقصر مقابل حمل أبسط وأقل قابلية للكشف على أنظمة Apple.
تسببت تقارير المجتمع في تفعيل تحقيقات MistEye
تلقت منصة MistEye، التي تابعة لـ SlowMist لذكاء التهديدات في Web3، إشعارات من المجتمع حول برنامج مقابلات مشبوه قبل بدء التحليل الكامل. وقد حدد النظام relay.lc كعالي الخطورة، مما دفع فريق الأمن إلى الحصول على مثبتين وعكس هندستهما دون تشغيلهما أو التواصل مع البنية التحتية البعيدة. وتأكد من خلال مراجعة المصدر للنُصوص وواجهة Electron والثنائيات المضمنة غياب أي وظيفة اجتماع مشروعة ووجود سلسلة واسعة من إجراءات الجمع.
يُفصّل التقرير الفني الهيكليات الدقيقة للملفات، والسلاسل المفككة، ونص الحوارات، ومسارات الاستمرارية، مما يوفر للمدافعين مؤشرات ملموسة. وتمكّن نشر النتائج في 29 يوليو 2026 من نشر سريع عبر قنوات الأمان. وتُظهر هذه الحادثة قيمة الإبلاغ المجتمعي المدمج مع المراقبة المتخصصة المركزة على تهديدات الويب 3. وحدّت الكشف المبكر من النافذة التي كان يمكن للحملة أن تعمل خلالها دون مواجهة. وتستمر المراقبة المستمرة للنطاقات ذات الصلة أو حمولات المتغيرات التي قد تظهر تحت علامات تجارية جديدة.
النمط الأوسع لحملات السرقة المشفرة القائمة على المقابلات
ظهرت حملات تستغل عملية البحث عن وظائف مرارًا وتكرارًا في قطاع Web3، وغالبًا ما تستخدم تطبيقات اجتماعات مزيفة أو أدوات توقيع المستندات لتوصيل برامج سرقة المعلومات. واستخدمت الإصدارات السابقة أسماء مثل Meeten وGrassCall أو علامات تجارية عامة للمؤتمرات، واعتمدت على مبادئ اجتماعية مماثلة. وتُحسّن عملية Relay هذا النهج من خلال دمج علامات تجارية مرتبطة بالذكاء الاصطناعي ومسرح تثبيت مخصص للمنصة. ويعكس التركيز المستمر على محافظ المتصفح وبيانات الجلسة التركيز العالي على الأصول السائلة بين المحترفين الذين يحافظون على بيئات تطوير أو تداول نشطة.
يلاحظ باحثو الأمن أن الحافز الاقتصادي لا يزال قويًا، حيث يمكن أن يؤدي التسريب الناجح الواحد إلى عوائد كبيرة مقارنة بتكاليف صياغة الفخ. وقد تحسنت الوعي الدفاعي، لكن الإدخال المستمر للنطاقات الجديدة والواجهات المُحسَّنة يحافظ على فعالية هذه التقنية. يُنصح المنظمات التي توظف عن بُعد بالاعتماد على منصات اجتماعات موثوقة وحظر تثبيت البرامج التي يقدمها المرشحون. وينتفع المتقدمون الأفراد من معاملة أي طلب لتنزيل أدوات المقابلة كإشارة عالية الخطورة تتطلب التحقق المستقل.
دفاعات عملية ضد فخاخ تثبيت البرامج
يمكن للمتقدمين تقليل التعرض من خلال التحقق من هويات مُوظفي التوظيف عبر قنوات الشركة الرسمية بدلاً من الاعتماد على الرسائل غير المرغوب فيها. يجب أن تأتي روابط الاجتماعات فقط من نطاقات معترف بها مرتبطة بالصاحب المزعوم. أي طلب لتثبيت برامج سطح المكتب قبل المقابلة يستدعي شكًا فوريًا وبحثًا مستقلًا عن التطبيق وناشره. لا ينبغي أبدًا إدخال كلمات مرور النظام في الحوارات التي تظهر أثناء عملية التثبيت. تحدّ المحافظ المادية وممارسات التخزين البارد من تأثير السرقة القائمة على المتصفح.
المراجعات الدورية لملحقات المتصفح وإزالة عملاء المحافظ غير المستخدمة يقللان من سطح الهجوم بشكل أكبر. عندما يجب إجراء مقابلة، يمكن للمتقدمين اقتراح منصات موثقة بديلة ورفض أي مثبّت لا يمكن التحقق منه. هذه الخطوات لا تزيل جميع المخاطر، لكنها تزيد من التكلفة التشغيلية للمهاجمين الذين يعتمدون على الامتثال السريع وغير المفحوص. يمكن لفرق الأمن داخل شركات الويب 3 دمج إرشادات مشابهة في قوالب التواصل مع المتقدمين. يظل التثقيف المستمر ضروريًا لأن مكون الهندسة الاجتماعية يتطور جنبًا إلى جنب مع الحمولات التقنية.
سياق السوق لنشاط التوظيف المكثف
استمرار الطلب على الكوادر المتخصصة في البلوك تشين يدعم التوظيف النشط عن بُعد في مجالات التطوير والأمن ووظائف النظام البيئي. وجود وظائف حقيقية ذات رواتب عالية يخلق بيئة خصبة للتزوير. يستغل المهاجمون حجم التواصل الذي يُولّده المُوظفون الشرعيون أيضًا، مختلطين مع الضجيج الخلفي للشبكات المهنية. وتُعزز نطاقات الرواتب وهياكل العمل عن بُعد أولاً التي تتميز بها العديد من الوظائف في Web3 من استخدام أدوات مقابلات متخصصة. تستفيد حملة Relay من هذا البيئة من خلال تقديم متطلب تقني معقول في اللحظة الدقيقة التي يكون فيها المرشحون متحمسين لإظهار مرونتهم.
مع توسع مشاركة المؤسسات في الأصول الرقمية، يزداد عدد المحترفين الذين يحملون شهادات مؤسسية وأصول مشفرة شخصية، مما يزيد من العائد المحتمل لكل عملية اختراق ناجحة. ولذلك، أصبحت الاعتبارات الأمنية جزءًا لا يتجزأ من عملية التوظيف نفسها، وليست مجرد إجراء تكميلي. الشركات التي تُعلن عن إجراءات تحقق واضحة للمقابلات تساعد المرشحين على التمييز بين العمليات الأصيلة والعمليات الخبيثة. التفاعل بين الفرصة المشروعة والجريمة الانتهازية يشكّل مشهد المخاطر الحالي للباحثين عن عمل في هذا القطاع.
المؤشرات وفرص الكشف للمدافعين
تُنتج التحليلات الثابتة عدة مؤشرات ملموسة يمكن دمجها في الأدوات الدفاعية. وجود دليل .back يحتوي على ملف تنفيذي غير موقّع داخل صورة قرص اجتماع مزعومة هو أمر غير طبيعي. على نظام Windows، فإن مزيج واجهة تقدم Electron التي تتقدم عشوائيًا وبرنامج تحديث unsigned updater.exe اللاحق الذي يطلب ارتفاع الصلاحيات هو أمر مميز. توفر وجهات الشبكة المذكورة في السلاسل المفككة، جنبًا إلى جنب مع جدول معرف الإضافة المحدد، علامات كشف إضافية. يمكن لرصد السلوك الذي يُشير إلى إزالة سمات الحجر الصحي تليها وصول إلى Keychain أو إنشاء إدخالات مُموّهة في مجلد Startup كشف عن العدوى وهي جارية.
قواعد كشف النقاط النهائية التي تراقب أوامر PowerShell التي تطلق ملفات تنفيذية مخفية تحت ستار عمليات التحديث تضيف طبقة إضافية. مشاركة هذه المؤشرات بين مجموعات الصناعة تعزز الدفاع الجماعي. قد تستفيد المنظمات التي تُجري عدداً كبيراً من المقابلات الفنية عن بُعد من حظر مستوى الشبكة للمجالات المسجلة حديثاً المرتبطة بعلامات أدوات الاجتماعات. وقد بدأ بالفعل نشر نتائج SlowMist في تغذية معلومات التهديدات المستخدمة من قبل منصات الأمان. وسيتم تحسين مجموعة المؤشرات مع مرور الوقت من خلال التحليل العكسي المستمر لأي متغيرات ملاحظة.
|
تحتفل KuCoin بمرور 9 سنوات على تأسيسها بحملة خاصة على المنصة تضم مكافآت حصرية وأنشطة تداول وعروض لفترة محدودة. لا تفوت فرصة المشاركة والاستمتاع بالمزايا بمناسبة علامة الشركة البالغة تسع سنوات من النمو والابتكار. قم بزيارة صفحة الحملة الرسمية الآن:
|
الخاتمة
تعزز حملة Relay ضرورة التعامل مع كل طلب تنزيل برنامج أثناء التوظيف كمتجه هجوم محتمل. يواجه المحترفون الذين يحافظون على بيئات تطوير نشطة أو يحملون أصولًا كبيرة في محافظ المتصفح مخاطر شخصية متزايدة. إن اعتماد المحافظ المادية للأصول الأساسية، والفصل الصارم بين أجهزة المقابلات وأنظمة إدارة الأصول، وعمليات التدقيق الدورية على إضافات المتصفح تشكل ضوابط أساسية عملية. يمكن للشركات تقليل التعرض الجماعي من خلال نشر إجراءات المقابلات المعتمدة وتدريب المُوظفين على تجنب أي متطلب لتركيب برامج من جانب المرشح.
تشير الدقة التقنية في فخاخ مخصصة للمنصات إلى أن المهاجمين سيواصلون الاستثمار في حزم اجتماعية مُصاغة بعناية طالما ظلت العوائد الاقتصادية جذابة. يتطلب الحفاظ على تفوق الكشف على النسخ الجديدة تعاونًا مستمرًا بين باحثي الأمن وقنوات الإبلاغ من المجتمع والمنظمات المُوظِّفة. إن الوعي بالتقنيات المحددة الموثقة في تحليل MistEye يزود الأفراد والفرق بالأدوات اللازمة لقطع سلسلة العدوى في أبكر مرحلة ممكنة. في النهاية، يبرز هذا الحادث أن الحدود بين الفرصة المهنية والسرقة المستهدفة في قطاع الويب 3 أصبحت رفيعة بشكل متزايد، مما يتطلب يقظة مماثلة من قبل كل مشارك في عملية التوظيف.
الأسئلة الشائعة
كيف يصل برنامج Relay الضار إلى باحثي الوظائف في Web3 في المقام الأول؟
يُزيف المهاجمون هويات مُوظفي التوظيف ويتصلون بالمحترفين بدعوى دعوات مقابلات. بعد إقامة الاتصال، يوجهون المرشح إلى موقع relay.lc، ويقدمونه على أنه المنصة المطلوبة للاجتماع عبر الفيديو. إن الوصف المصقول لميزات الترجمة التلقائية بالذكاء الاصطناعي والتعاون يجعل الطلب يبدو روتينيًا، مما يؤدي إلى قيام العديد من الضحايا بتنزيل وتشغيل المثبتات دون التحقق أكثر من ذلك.
ما البيانات المحددة التي يحاول البرنامج الخبيث جمعها؟
يستهدف الحمل كلمات المرور المحفوظة في المتصفح، والكوكيز، وبيانات التعبئة التلقائية من Chrome وBrave وEdge وArc، بالإضافة إلى 286 معرفًا لامتدادات محفظة العملات المشفرة ومديري كلمات المرور. على نظام macOS، يلتقط أيضًا قاعدة بيانات Keychain الخاصة بتسجيل الدخول المرتبطة بكلمة مرور يوفرها المستخدم، وملفات جلسة Telegram، ومحتوى ملاحظات Apple، ومعرفات النظام. على Windows، يضيف مسح ذاكرة العملية للبحث عن معلمات المحافظ غير المقفلة ويُنشئ آليات استمرارية.
لماذا يُطلب من المستخدمين في تثبيت macOS سحب ملف إلى Terminal؟
يُنفّذ خطوة المحطة نصًا قصيرًا ينسخ ملفًا تنفيذيًا مخفيًا، ويُزيل سمة الحجر الصحي الخاص به، ويشغّله بصمت. إن إزالة سمة الحجر الصحي تعطّل تحذير macOS القياسي الذي كان سيظهر عند فتح ملف تم تنزيله من الإنترنت، مما يسمح للبرمجية الخبيثة بالتشغيل دون مربع حوار التأكيد المعتاد للمستخدم.
كيف تخلق نسخة ويندوز وهمية وهمية لتحديث شرعي؟
تعرض واجهة قائمة على Electron شريط تقدم يتحرك وفقًا لمؤقت عشوائي غير مرتبط بأي نشاط تنزيل أو تثبيت فعلي. تدور رسائل الحالة تلقائيًا حتى يصل الشريط إلى 80 بالمائة، حيث يطلب أمر PowerShell صلاحيات المسؤول ويشغل ملفًا ثنائيًا ثانويًا مخفيًا.
هل يمكن للمهاجمين استخدام بيانات مفتاح الوصول المسروقة فورًا؟
نعم. يزوج البرمجية الخبيثة كلمة المرور مع مربع الحوار المزيف الذي يحتوي على نسخة من قاعدة بيانات Keychain المسجلة. وبما أن Keychain عادةً ما يتم فتحها بنفس كلمة المرور، فإن المشغلين عن بُعد يتلقون كلًا من خزانة الاعتماد المشفرة والمفتاح اللازم لفك تشفيرها، مما يمكّنهم من الوصول إلى كلمات المرور المخزنة وأسرار أخرى.
ما طرق التثبيت التي يستخدمها برنامج الخبيث Windows؟
بعد الترقية، ينسخ الحمولة نفسه إلى موقع مخفي تحت AppData ويُنشئ إدخالات بدء تشغيل في مفتاح Run وRunOnce ودليل بدء التشغيل. تُسمى الإدخالات لتبدو كمكونات تحديث ويندوز المشروعة، مما يسمح للبرمجية الخبيثة بإعادة التشغيل بعد إعادة تشغيل النظام.
إخلاء المسؤولية: هذا المحتوى لأغراض إعلامية فقط ولا يشكل نصيحة استثمارية. تستلزم استثمارات العملات المشفرة مخاطرة. يرجى إجراء بحثك الخاص (DYOR).
اخلاء المسؤوليه: تُرجمت هذه الصفحة باستخدام تقنية الذكاء الاصطناعي لراحتك. للحصول على المعلومات الأكثر دقة، ارجع إلى النسخة الإنجليزية الأصلية.