ما هو التعدين الخبيث (Cryptojacking)؟ كيف تكتشفه وتحمي جهازك

ما هو التعدين الخبيث (Cryptojacking)؟

التعدين الخبيث أو الاختطاف التعديني (Cryptojacking) هو استخدام حاسوب شخص آخر أو هاتفه أو خادمه لتعدين العملات المشفرة دون علمه أو موافقته. بدل أن يدفع المهاجم ثمن العتاد والكهرباء التي يتطلبها تعدين العملات المشفرة عادة، ينقل هذه التكاليف بهدوء إلى الضحية. يبدو الجهاز المصاب طبيعيًا من الخارج، لكن شيفرة مخفية تستهلك قدرته الحاسوبية في الخلفية لتوليد عملات لصالح شخص آخر. إنه القريب الصامت لتهديدات أكثر صخبًا مثل التصيد أو سحب البساط: لا تُسرق أموال مباشرة، بل يُسرق عتادك وكهرباؤك وعمر بطاريتك.

حاسوب محمول تعلوه رسمة لقفزة مفاجئة في استهلاك المعالج ومراوحه تدور بقوة، بينما تعمل شيفرة تعدين مخفية في الخلفية

لماذا يفضله المهاجمون؟

التعدين الخبيث جذاب لأنه منخفض المخاطر ويموّل نفسه بنفسه. لا حاجة إلى إقناع الضحية بتسليم كلمة مرور أو توقيع معاملة خبيثة؛ الشيفرة تعمل وحسب. العملة الأكثر تعدينًا بهذه الطريقة هي مونيرو، ولذلك أسباب واضحة: مونيرو (Monero) عملة خصوصية تخفي أثر المعاملات فيصعب تتبع العائدات، كما تستخدم خوارزمية تجزئة تعمل بكفاءة على المعالجات العادية (CPU)، فتصبح شبكة من الحواسيب والهواتف اليومية منتجة فعلًا، على عكس البيتكوين الذي يحتاج إلى عتاد متخصص لتعدينه بمعدل يُذكر.

كيف يعمل التعدين الخبيث؟

هناك مساران رئيسيان للإصابة، ويختلف سلوكهما كثيرًا بعد التفعيل:

التعدين الخبيث القائم على الملفات يصل عبر تنزيل: رسالة تصيد تتنكر في هيئة فاتورة، أو لعبة مقرصنة، أو تطبيق مزيف يعد بأنه «بلا إعلانات». بعد التثبيت قد تصمد البرمجية الخبيثة أمام إعادة التشغيل، بل وتنتقل إلى أجهزة أخرى على الشبكة نفسها، فتتضاعف تكلفة التنظيف.

التعدين الخبيث القائم على المتصفح، ويسمى غالبًا «التعدين العابر» (Drive-by Mining)، يشغّل شيفرة مدمجة مباشرة في موقع ويب أو إعلان خبيث. يعدّن فقط ما دامت علامة التبويب مفتوحة، ويتوقف عادة لحظة إغلاق المتصفح، ولهذا تحديدًا يسهل تجاهله.

مخطط من عمودين يقارن مسار الإصابة القائم على الملفات (بريد إلكتروني ← تنزيل ← تثبيت ← استمرار) بالمسار القائم على المتصفح (زيارة الموقع ← تشغيل الشيفرة ← إغلاق التبويب ← توقف)

لمحة تاريخية عن التعدين الخبيث

لم يبدأ التعدين الخبيث جريمةً. في سبتمبر 2017 نشرت خدمة تُدعى Coinhive مقطع شيفرة يتيح للمواقع استعارة معالج الزائر لتعدين مونيرو، وقُدّم على أنه بديل نزيه للإعلانات. وجرّبه موقع مشاركة الملفات Pirate Bay في واقعة شهيرة. لكن المشكلة كانت في الموافقة: أزال المقلدون نافذة طلب الإذن، وبحلول 2018 كان نحو 32,000 موقع يشغّل أداة التعدين من Coinhive، غالبًا دون إبلاغ أحد. أُغلقت Coinhive عام 2019، لكن الأسلوب كان قد تطور بالفعل.

• 2018، عبر أجهزة التوجيه: اختُرق نحو 200,000 جهاز توجيه (Router) من MikroTik عبر الثغرة CVE-2018-14847، وحُقنت شيفرة تعدين في حركة الويب لكل جهاز متصل خلفها. إصابة مصدر الشبكة بدل موقع واحد وسّعت نطاق الهجوم كثيرًا.
• منذ 2020، عبر شبكات الروبوتات: تثبّت شبكة الروبوتات Glupteba أدوات تعدين على حواسيب Windows بصمت، وتسرق ملفات تعريف الارتباط الخاصة بتسجيل الدخول، ويُقدّر أنها أصابت نحو مليون جهاز. أبرز حيلها المرونة: إذا أُسقط خادم التحكم الخاص بها، تبحث في بلوكتشين البيتكوين عن تعليمات مخفية في حقل OP_RETURN لمعاملات منخفضة القيمة، ثم تعود إلى العمل بعنوان خادم جديد.

رسم معلوماتي لخط زمني يحدد Coinhive (2017-2019) وثغرة أجهزة توجيه MikroTik (2018) وشبكة الروبوتات Glupteba (منذ 2020)

مثال عملي: كم يكلفك فعلًا؟

الضرر نادرًا ما يتعلق بعملة واحدة؛ إنه يتعلق بالكهرباء واستهلاك العتاد عبر أجهزة كثيرة. لنفترض أن شبكة روبوتات اختطفت 1,000 حاسوب محمول، يستهلك كل منها 60 واط إضافية لمدة 12 ساعة يوميًا:

هذه الفاتورة كاملة يدفعها الضحايا لا المهاجم، دون احتساب التكلفة طويلة الأجل لقِصر عمر الأجهزة بسبب الإجهاد الحراري المستمر. أما بالنسبة للمهاجم فمونيرو المعدَّنة ربح شبه صافٍ. هذا التفاوت هو المنطق الاقتصادي الكامل وراء التعدين الخبيث.

علامات التحذير والمخاطر

صُممت شيفرات التعدين الخبيث الحديثة لتنشط عندما يكون الجهاز خاملًا أو قيد الشحن، كي لا تلاحظها. ومع ذلك تتراكم الأعراض:

• بطء الأداء: أعطال مفاجئة، أو تأخر في الاستجابة، أو حاسوب يبدو فجأة أقدم بجيل كامل.
• ارتفاع الحرارة: مراوح تعمل باستمرار، أو هيكل ساخن حتى أثناء الراحة، أو هاتف يسخن وهو مقفل وقيد الشحن.
• استهلاك مرتفع للمعالج أثناء الخمول: افتح مدير المهام (Windows) أو مراقب النشاط (macOS)؛ أي قفزة غير مفسرة وأنت لا تفعل شيئًا إشارة إنذار.
• بطء الشحن: إذا استغرق شحن الهاتف وقتًا أطول بوضوح، فقد يكون هناك ما يستنزفه في الخلفية.

الخطر الأعمق يقع على العتاد. التعدين الخبيث عملية كثيفة الموارد تعمل على مدار الساعة، والضغط المستمر على المعالج يقصّر عمر الجهاز وقد يؤدي إلى تعطله تمامًا. وعلى الخوادم والبنية السحابية يضخم أيضًا فواتير الحوسبة، وقد يخفي موطئ قدم لهجمات أسوأ لاحقًا.

كيف تكتشف التعدين الخبيث وتزيله؟

إذا اشتبهت في وجود إصابة، اتبع هذه الخطوات بالترتيب:

1. شغّل فحصًا كاملًا بمكافحة الفيروسات بأداة موثوقة مثل Microsoft Defender، ثم شغّل فحصًا دون اتصال لاكتشاف أحصنة طروادة المتنكرة في ملفات النظام.
2. أعد التشغيل في الوضع الآمن (في Windows: اضغط Win+R، واكتب msconfig، وفعّل Safe boot، ثم أعد التشغيل) حتى لا تتدخل البرامج المشبوهة.
3. أزل البرامج المجهولة من لوحة التحكم، وامسح الملفات المؤقتة (ابحث عن %temp%، وحدد الكل، واحذف).
4. أعد ضبط إعدادات المتصفح لإزالة أي إضافات خبيثة أو شيفرات محقونة.
5. عُد إلى الوضع العادي بتعطيل Safe boot من msconfig، ثم أعد الفحص للتأكد من نظافة النظام.

أما إذا كان موقعك هو المصاب، فافحص شيفرة HTML يدويًا بحثًا عن شيفرات تعدين غير مألوفة، أو استخدم أداة فحص مواقع للكشف عن الشيفرات الخبيثة.

لقطة شاشة لمدير المهام في Windows مرتبًا حسب عمود المعالج، مع إبراز عملية غير معروفة تستهلك 95% منه

كيف تتجنب التعدين الخبيث؟

الوقاية في معظمها نظافة أمنية جيدة، وهي العادات نفسها التي تحميك من عمليات الاحتيال الشائعة في العملات المشفرة:

• لا تنقر دون تفكير: تحقق من الروابط والمرسلين قبل فتح المرفقات، وتجاهل الرسائل الخاصة غير المطلوبة التي تعرض إصدارات نادرة أو فرصًا «مجانية».
• استخدم مانع إعلانات أو متصفحًا يركز على الخصوصية لتحييد أدوات التعدين المخفية في الإعلانات الخبيثة.
• حدّث برنامج مكافحة الفيروسات ونظام التشغيل حتى تُسد الثغرات المعروفة (مثل ثغرة MikroTik).
• فكّر في تعطيل JavaScript على المواقع غير الموثوقة؛ إجراء فعال، لكنه يعطل بعض الخصائص المشروعة في المواقع.

لحماية أوسع لأصولك راجع دليل كيف تحمي عملاتك الرقمية، وللاحتفاظ بأموالك بعيدًا عن الأجهزة المتصلة بالإنترنت تعرّف على المحفظة الباردة.

منظور COINOTAG

لا نرى التعدين الخبيث هجومًا منفردًا بقدر ما نراه مقياسًا لبنية الحوافز في عالم الكريبتو: حيثما تكون للقدرة الحاسوبية قيمة نقدية مباشرة، سيحاول أحدهم سرقتها. المسار من أداة Coinhive المعلنة عام 2017 إلى شبكة Glupteba المحصنة بالبلوكتشين يُظهر أن المهاجمين يحترفون بسرعة، ويخشى باحثو الأمن أن تتحول شبكات التعدين الخاملة يومًا ما إلى برامج الفدية أو هجمات حجب الخدمة (DDoS) عندما تبلغ حجمًا كبيرًا. الخلاصة العملية بسيطة: تعامل مع معالجك كأصل. اليقظة نفسها التي تطبقها لتأمين محفظتك، من تحديث البرامج والتحقق من المصادر ومراقبة أي شذوذ، هي أفضل دفاع ضد تجنيد عتادك بصمت في عملية تعدين لصالح شخص آخر.

ولفهم الجانب المشروع من العملية التي يستغلها هؤلاء المهاجمون، يمكنك قراءة دليل تعدين مونيرو، وتعرّف أيضًا على آلية إثبات العمل التي يقوم عليها التعدين.