أعلنت وكالات إنفاذ القانون الفيدرالية الأمريكية، بالتعاون مع شركة الأمن السيبراني CrowdStrike والشركاء الدوليين، عن عملية تستهدف نظام Sality للبرمجيات الخبيثة—سلسلة عدوى تقول السلطات إنها استُخدمت لأكثر من عقدين لسرقة العملات المشفرة وتنفيذ هجمات سيبرانية.
في إعلان يوم الثلاثاء، قالت وزارة العدل الأمريكية (DOJ) إنها عطلت شبكة Sality الروبوتية والبرمجيات الخبيثة المرتبطة بها في جهد دولي شمل مسؤولين بلغاريين وهنغاريين ورومانيين، بالإضافة إلى شركاء من القطاع الخاص هما CrowdStrike ومؤسسة Shadowserver. ربطت وزارة العدل الأمريكية Sality بأنشطة اختراق مستمرة منذ عام 2003، تشمل تثبيت البرمجيات الخبيثة على الأجهزة المتأثرة.
أبرز النقاط
- يقول وزارة العدل الأمريكية إن بنية السوبر نت Sality وبرمجياتها الخبيثة تم تعطيلها من خلال عملية إزالة دولية منسقة.
- أبلغت CrowdStrike أن تقنية "clipjacking" القائمة على الحافظة استُخدمت لاستبدال عناوين العملات المشفرة بعناوين يتحكم بها المهاجمون.
- وفقًا لـ CrowdStrike، سرقت الكيانات وراء Sality ما لا يقل عن 12.1 مليون روبل (حوالي 150,000 دولار) على مدار الثماني سنوات السابقة.
- وصف المسؤولون شبكة بوت موزعة بين الأقران تضم حوالي 15,000 جهاز مصاب تتحقق بشكل دوري مما إذا كانت الأهداف متصلة.
- خلال العملية، فقد مشغلو Sality القدرة على التواصل مع الآلات المصابة.
لماذا يهم اختراق الحافظة لأمن التشفير
أدق التفاصيل أهمية في التقرير هي طريقة تنفيذ السرقة. وقالت كراودسترايك أنه خلال الثمانية أعوام السابقة، استخدم المشغلون EggJagger، وهي أداة سرقة المحتوى من الحافظة تراقب حافظة الضحية بحثًا عن عناوين محفظات التشفير ثم تستبدلها بصمت بعناوين يسيطر عليها المهاجم.
في التطبيق العملي، يستهدف هذا الميكانيزم سلوكًا شائعًا بين المستخدمين: نسخ ولصق عناوين المحافظ عند إرسال الأموال. وفقًا لـ CrowdStrike، عندما ينسخ الضحية عنوان Bitcoin أو Ethereum لإكمال الدفع، يتم إعادة توجيه الأموال إلى العنوان البديل.
هذا النوع من الهجوم ضار بشكل خاص لأنه لا يتطلب من الضحية التوقيع على معاملات خبيثة أو التفاعل مع موقع ويب مزيف في اللحظة الحالية. بدلاً من ذلك، فإنه يُخترق تدفق المعاملة عند نقطة إدخال العنوان—ما يعني أن المستخدمين الذين يعتمدون على نسخ ولصق الحافظة يمكن خداعهم حتى لو لم يتفاعلوا قط بشكل واعٍ مع مطالبات البرمجيات الخبيثة أو صفحات التصيد.
نطاق وتأثير عملية Sality
في تقريرها عن العملية، قالت CrowdStrike إن منهجية اختطاف الفيديوهات مكّن من سرقة ما لا يقل عن 12.1 مليون روبل، أو ما يقارب 150,000 دولار أمريكي في العملات المشفرة، خلال الفترة التي وصفتها. كما شددت الشركة على أن الأصول المسروقة ظلت "غير مُنفقة"، مما يعني أن الأموال الرقمية المُستولى عليها لم تُنفق لاحقًا أو تُنقل بأي شكل آخر من الوجهات المرتبطة بالمهاجمين خلال الفترة الملاحظة.
كما أوضحت أن قيمة هذه الأصول "غير المُنفقة أبداً" بلغت ذروتها حوالي 1.5 مليون دولار في يناير 2025، مما يعطي فكرة عن مدى أهمية العوائد المخزنة التي يمكن أن تصبح عندما تبدأ عمليات السرقة التشغيلية.
بينما تصف كمية السرقة المبلغ عنها والتقييم الأقصى ما رصده CrowdStrike في تحليله فقط، فإنها تساعد على توضيح سبب أهمية تعطيل قنوات اتصال الشبكة الروبوتية: إذا لم يتمكن المشغلون من التحكم أو الحفاظ على الإصابات بشكل موثوق، فإن قدرتهم على تفعيل استبدال العناوين وجمع الأموال تتناقص.
كيف عملت الشبكة الروبوتية—وما الذي غيّره التدخل
وصف مسؤولون أمريكيون وCrowdStrike Sality كشبكة روبوتات نظير إلى نظير. وفقًا للشركة، كان حوالي 15,000 جهاز مصاب جزءًا من هذه الشبكة، والتي كانت تتحقق مما إذا كانت الأنظمة متصلة كل 40 دقيقة. ساعدت هذه الاتصالات الدورية في ضمان قدرة مشغلي البرمجيات الخبيثة على الحفاظ على رؤية لحالة الإصابة، وفي حال أمكن، الاستمرار في العمليات الضارة.
بعد جهود السلطات، قالت CrowdStrike إن المجرمين "فقدوا القدرة على التواصل مع الأجهزة المصابة." في عمليات البوتنت، غالبًا ما يكون هذا الفقد حاسمًا: حتى لو ظلت الأجهزة المصابة في مكانها مؤقتًا، فإن إزالة اتصالات القيادة والتحكم تقلل من قدرة البرمجيات الخبيثة على التنسيق والتحديث وتنفيذ وظائفها الأكثر ربحية.
لقد صاغ إعلان وزارة العدل الأمريكية هذا التدخل كجزء من تدخل أوسع ضد برنامج Sality الضار والبنية التحتية للشبكة الروبوتية المرتبطة به، وليس فقط كإزالة للعدوى الفردية. بالنسبة لمستخدمي العملات المشفرة، فإن النقطة الأساسية هي أن هذه الحملات يمكن أن تستمر لفترات طويلة — حيث قالت وزارة العدل إن Sality كان مسؤولاً عن تثبيت البرامج الضارة على الأجهزة المخترقة منذ عام 2003 — لذا فإن الإجراءات الإنفاذية والتدخلات التقنية حاسمة لتقليل السطح التشغيلي للمهاجمين.
ما الذي يجب على المستثمرين والمستخدمين مراقبته بعد ذلك
يُبرز هذا الإزالة كيف تدمج حملات سرقة العملات المشفرة بشكل متزايد توزيع البرمجيات الخبيثة مع هجمات على سير العمل البشري مثل اختطاف الحافظة. يجب على المستخدمين اعتبار استبدال العناوين القائم على الحافظة تهديدًا حقيقيًا—وخاصة عند إرسال أموال Bitcoin أو Ethereum—ويفضل التحقق من عناوين المستلمين عبر طرق خارجية (على سبيل المثال، التحقق من عنوان لصق مقابل مصدر موثوق أو استخدام خطوات التحقق في برامج المحافظ).
بالنظر إلى المستقبل، فإن السؤال المفتوح هو كيف سيتكيف المهاجمون إذا تم تقييد قدرتهم على التواصل مع الآلات المصابة. يجب على القراء مراقبة إصدارات ضارة لاحقة، أو أدوات جديدة لسرقة الحافظة، أو تغييرات أوسع في كيفية الحفاظ على وصول المجرمين إلى أجهزة الضحايا مع انتشار تأثيرات تعطيل البنية التحتية لـ Sality عبر العمليات الإجرامية.
تم نشر هذه المقالة أصلاً كـ US Officials Coordinate With CrowdStrike to Counter Crypto Theft Malware على Crypto Breaking News – مصداقيك الموثوق لأخبار التشفير، وأخبار البيتكوين، وتحديثات البلوك تشين.