برامج سرقة المعلومات
ناقشنا مؤخرا كيف ينشر المهاجمون الخبثاء برنامج سرقة المعلومات AMOS لنظام التشغيل macOS عبر إعلانات Google، مستغلين محادثة مع مساعد ذكاء اصطناعي على موقع ويب OpenAI الرسمي لاستضافة تعليمات خبيثة. وبالتعمق أكثر في البحث، اكتشفنا عدة حملات خبيثة مماثلة يحاول فيها المهاجمون تمرير برامج ضارة للمستخدمين – متخفية في هيئة أدوات ذكاء اصطناعي شهيرة – عبر إعلانات بحث Google. وإذا كان الضحايا يبحثون عن أدوات مخصصة لنظام macOS، يتم نشر حمولة برامج AMOS نفسها؛ أما إذا كانوا يستخدمون نظام Windows، فيتم نشر برنامج سرقة المعلومات Amatera بدلاً منها. وتستخدم هذه الحملات أدوات مثل AI Doubao الصينية الشهيرة، أو مساعد الذكاء الاصطناعي واسع الانتشار OpenClaw، أو مساعد البرمجة Claude Code كطُعم للخداع. وهذا يعني أن هذه الحملات تشكل تهديدًا ليس فقط للمستخدمين المنزليين، بل للمؤسسات أيضًا.
الحقيقة هي أن موظفي الشركات باتوا يعتمدون بشكل متزايد على مساعدي البرمجة مثل Claude Code، ووكلاء أتمتة سير العمل مثل OpenClaw. وهذا التوجه يحمل معه مخاطره الخاصة، ولهذا السبب لم توافق الكثير من المؤسسات بعد بشكل رسمي على استخدام هذه الأدوات (أو دفع رسوم اشتراكها). ونتيجة لذلك، يأخذ بعض الموظفين زمام المبادرة للبحث عن هذه الأدوات الرائجة بأنفسهم، ويتجهون مباشرة إلى محرك بحث Google. وهناك، يكتبون استعلام البحث لتظهر لهم روابط إعلانية ممولة تؤدي في الحقيقة إلى أدلة تثبيت خبيثة. دعونا نلقي نظرة فاحصة على كيفية تنفيذ هذا الهجوم، مستشهدين بحملة توزيع لبرامج Claude Code تم اكتشافها في أوائل شهر مارس كنموذج.
استعلام البحث
يبدأ المستخدم بالبحث عن موقع لتحميل وكيل شركة Anthropic، فيكتب عبارة مثل “Claude Code download” في شريط البحث. ويعرض محرك البحث قائمة من الروابط، وتتصدرها “الروابط الممولة” (الإعلانات المدفوعة). ويقود أحد هذه الإعلانات المستخدم إلى صفحة خبيثة تحتوي على وثائق مزيفة. ومن المثير للاهتمام أن الموقع نفسه مبني باستخدام منصة Squarespace، وهي أداة مشروعة لبناء مواقع الويب تساعد المهاجمين على تجاوز مرشحات الحماية من التصيد الاحتيالي.
نتائج البحث مع إعلانات في رومانيا والبرازيل
يُحاكي موقع المهاجمين بدقة متناهية وثائق Claude Code الأصلية، بما في ذلك إرشادات التثبيت. وتمامًا كما في الموقع الرسمي، يطلب الموقع من المستخدم نسخ أمر برمجِي وتشغيله. ومع ذلك، بمجرد التنفيذ، لا يتم تثبيت وكيل ذكاء اصطناعي بل برامج ضارة. وبشكل أساسي، هذا مجرد شكل آخر لهجوم ClickFix – الذي اكتسب لقبه الخاص: InstallFix.
موقع ويب ضار يحاكي إرشادات التثبيت
موقع Claude Code الأصلي مع إرشادات التثبيت
الحمولة الضارة
كما هو الحال تمامًا مع أداة Claude Code الأصلية، يحاول الأمر المخصص لنظام macOS تثبيت تطبيق باستخدام أداة السطر البرمجي curl. وفي الواقع، ينشر هذا الأمر برنامج التجسس AMOS – الذي سبق وصفه بواسطة خبرائنا في Securelist – والذي اُستخدم في حملة سابقة مماثلة.
في حالة نظام Windows، يتم تثبيت البرامج الضارة باستخدام الأداة المساعدة للنظام mshta.exe، التي تنفذ التطبيقات المستندة إلى لغة HTML بدلاً من curl، المستخدمة في نسخة Claude Code الأصلية. وتنشر هذه الأداة المساعدة برنامج سرقة المعلومات Amatera، الذي يجمع بيانات المستعرض ومعلومات محفظة العملات المشفرة، بالإضافة إلى المعلومات من مجلد المستخدم، ويرسلها إلى خادم بعيد بعنوان 144{.}124.235.102.
كيفية الحفاظ على أمان شركتك
يستمر الاهتمام بوكلاء الذكاء الاصطناعي في النمو، ومع ظهور أدوات جديدة وزيادة شعبيتها، تنشأ نواقل هجوم حديثة. وعلى وجه التحديد، فإن محاولة البحث عن أدوات ذكاء اصطناعي من طرف ثالث لا تقتصر مخاطرها على تهديد التعليمات البرمجية المصدرية للمشاريع الموجودة على جهاز الضحية فحسب، بل قد تؤدي أيضًا إلى اختراق الأسرار البرمجية والملفات السرية للشركات وحسابات المستخدمين.
لمنع حدوث ذلك، يجب أن تكون الخطوة الأولى هي توعية الموظفين بهذه المخاطر وبالحيل التي تستخدمها جهات التهديد. ويمكن فعل ذلك باستخدام منصة التدريب: Kaspersky Automated Security Awareness. وبالمناسبة، تتضمن المنصة درسًا متخصصًا حول استخدام الذكاء الاصطناعي في بيئات العمل المؤسسية.
بالإضافة إلى ذلك، نوصي بحماية جميع أجهزة الشركة باستخدام حلول الأمن الإلكتروني التي أثبتت جدواها.
نقترح أيضًا الاطلاع على مقالتنا المنشورة سابقًا عن ثلاثة مناهج لتقليل مخاطر استخدام الذكاء الاصطناعي الخفي.
النصائح