برمجية OkoBot الخبيثة تستغل 20 وحدة لسرقة عبارات استرداد محافظ بيتكوين (BTC)

أخبار العملات الرقمية

كشفت شركة كاسبرسكي عن إطار خبيث جديد يحمل اسم OkoBot، عمره نحو عام، ومبني من قرابة 20 وحدة منفصلة صُممت خصيصًا لسرقة عبارات استرداد محافظ العملات الرقمية. وتُظهر قراءتنا لهذا الإفصاح أن العملية أوقعت بالفعل ضحايا في خمس دول على الأقل — البرازيل وفيتنام وكندا والمكسيك وتركيا — بينما تعمّد مشغّلوها حجب عناوين الـIP القادمة من روسيا وسائر دول كومنولث الدول المستقلة. ويتيح التصميم المعياري (modular) للمهاجمين حصاد ملفات المحافظ وبيانات المتصفح وبيانات تسجيل الدخول من جهاز مصاب واحد. ولأن عبارة الاسترداد تمنح السيطرة الكاملة على المحفظة، يواجه الضحايا خسارة شبه تامة: فتحويلات البلوكشين لا رجعة فيها، ولا يكاد يبقى مسار لاستعادة الأموال المسروقة.

تبدأ سلسلة العدوى بالهندسة الاجتماعية لا بثغرة برمجية. يُوزَّع OkoBot عبر مستودعات على GitHub متنكّرة في هيئة أدوات مشروعة، من بينها نسخة مزيّفة من Microsoft SQL Server Management Studio. ووثّقت كاسبرسكي استخدامًا مكثّفًا لأسلوب ClickFix، وهو تقنية تعرض رسائل خطأ زائفة أو مطالبات تحقّق أو تعليمات إصلاح، لتخدع الضحية فتلصق أوامر خبيثة في الطرفية (terminal) الخاصة بها بنفسها. واتّباع تلك الخطوات يثبّت الباب الخلفي (backdoor) بصمت. ويلتفّ هذا النهج على الدفاعات التقليدية لأن المستخدم — لا ثغرة استغلال — هو من ينفّذ الحمولة الخبيثة، وهو نمط يراه خبراء الأمن متزايدًا في استهداف حائزي البيتكوين وسائر العملات البديلة.

في صميم عملية السرقة تقبع وحدة SeedHunter، التي تعرض واجهة استرداد مزيّفة تحاكي محافظ الأجهزة (hardware wallets) مثل Ledger وTrezor. وحين يُدخل المستخدم عبارة استرداد من 12 أو 24 كلمة في الشاشة الاحتيالية، تُنقل البيانات مباشرة إلى المشغّلين، الذين يستطيعون عندئذٍ إعادة بناء المحفظة وتفريغها. ويستهدف هذا التكتيك تحديدًا السرّ الوحيد الذي صُمّمت محافظ الأجهزة لإبقائه خارج الاتصال. والدرس مباشر لكل من يؤمّن محفظة ذاتية الحفظ: الجهاز الأصيل لا يطلب منك قط إعادة إدخال عبارة الاسترداد في نافذة سطح المكتب.

تُوسّع وحدتان إضافيتان نطاق التجسّس. فوحدة MC Keylogger تسجّل ضغطات المفاتيح وتراقب نشاط الحافظة (clipboard)، ملتقطةً كلمات المرور وعناوين المحافظ المنسوخة في الوقت الفعلي، بينما تتعقّب وحدة OkoSpyware كلمات مرور المحافظ، بل تسجّل مقاطع فيديو للنوافذ المفتوحة لمراقبة نشاط الضحية. وتتضافران معًا لهزيمة عادات النسخ واللصق التي يظنها كثير من المتداولين آمنة، وقد تعترضان بهدوء بيانات اعتماد حسابات المنصات أو روبوت تداول آلي يعمل على الجهاز نفسه. وقدرة الإطار على سحب أنواع متعددة من البيانات من مضيف واحد تعني أن تثبيتًا واحدًا متهاونًا قد يعرّض محفظة استثمارية بأكملها، لا محفظة واحدة أو حساب دخول فحسب.

لم يظهر OkoBot من العدم. فقد تتبّعته كاسبرسكي إلى حملة TookPS لعام 2025، التي دفعت برنامج تنزيل حصان طروادة عبر مواقع برمجيات زائفة، وأكّدت وقوع هجمات متعددة مرتبطة بالعائلة الجديدة منذ يناير 2026. وما يميّز هذا الجيل هو بنيته التحتية: إذ تُدار حمولاته العشرون كلها عبر نفق SSH واحد، وهو قناة مشفّرة تنقل البيانات المسروقة من الأجهزة المصابة إلى أجهزة يتحكّم بها المهاجمون مع اندماجها في حركة الشبكة الطبيعية. وحذّر الباحثون من أن البنية المعيارية القابلة لإعادة الاستخدام تخفض الحاجز أمام المقلّدين، ما يعني أن أطقمًا مشتقّة تستهدف عبارات الاسترداد قد تنتشر إلى ما هو أبعد من المشغّلين الأصليين.

تندرج الحملة ضمن دفعة أوسع تستهدف من يبنون منظومة العملات الرقمية. ففي واقعة منفصلة، رصد باحثو أمن البلوكشين في SlowMist مخططًا ينتحل فيه المهاجمون صفة مسؤولي توظيف في مجال Web3 على LinkedIn، ثم يرسلون إلى المرشحين مستودعات GitHub زائفة يصفونها بأنها منتج أوّلي قابل للتطبيق (MVP) لاختباره قبل المقابلة. وتشغيل تلك الشيفرة — وهي خطوة روتينية في أي فرز تقني — يُنزّل حصان طروادة للوصول عن بُعد يسرق مفاتيح المشاريع وبيانات اعتماد السحابة وبيانات إضافات المحافظ. واستهدفت عملية ذات صلة مستخدمي macOS للاستيلاء على جلسات Telegram. ولا يتضمّن أيٌّ من هذه الطعوم إيردروب رمز مشروع، لكنها تستعير الإطار ذاته القائم على الثقة لنزع حذر الأهداف.

وإذا قُرئت هذه الحوادث معًا، فهي ترسم استراتيجية واحدة لا عدة استراتيجيات: فقد انتقل المهاجمون من كسر التشفير إلى كسر الثقة البشرية، مسلّحين GitHub وLinkedIn وشاشات المحافظ الزائفة للوصول إلى عبارة الاسترداد مباشرة. وتؤكّد بيانات السوق الخاصة بـCOINOTAG أهمية التوقيت — فمع مؤشر الخوف والطمع عند 25 (خوف شديد)، وهيمنة البيتكوين قرب 69.9%، وإجمالي القيمة السوقية للعملات الرقمية نحو 1.85 تريليون دولار، فإن الحائزين المتوترين المسارعين إلى تأمين أموالهم أو نقلها هم بالضبط الجمهور الذي تستغلّه أطقم الهندسة الاجتماعية. وقراءتنا أن الأمن التشغيلي بات يحمي رأس المال بقدر ما يحميه أي مستوى سعري أو قمة تاريخية؛ فعبارة استرداد مخترقة تمحو مكاسب لا يقدر أي تعافٍ للسوق على استعادتها.