OX Security تتعقب إخفاء خادم فيروس PolinRider في إيثيريوم (ETH) وتحدد 4 عناوين IP

عناوين خوادم مخبأة داخل بيانات معاملات ETH

كشف باحثو الأمن السيبراني في شركة OX Security حملة خبيثة تخفي عناوين خوادم القيادة والسيطرة داخل بيانات معاملات إيثيريوم (ETH) على البلوكتشين، وهو تصميم يتيح لمشغّلي البرمجية الخبيثة تبديل بنياتهم التحتية دون المساس بالبرنامج المصاب نفسه. جاء هذا الكشف في تقرير نُشر يوم الأربعاء 4 نوفمبر تحت عنوان «عودة PolinRider: حزم npm المختطفة وبلوكتشين إيثيريوم لإخفاء بنية البرمجية الخبيثة». وبينما تنصبّ اهتمامات المتداولين هذا الأسبوع على سعر إيثيريوم (ETH)، فإن الإفصاح يمس خاصية مختلفة تمامًا في شبكة إيثيريوم: سجل معاملاتها علني ودائم ويمكن لأي برنامج قراءته، وهو ما يجعله مخبأً مريحًا. البرمجية الخبيثة في قلب هذه الحملة تعرف باسم PolinRider، وتنتشر عبر npm، أي السجل الذي ينزّل منه مطورو البرمجيات المكوّنات الجاهزة التي تعتمد عليها تطبيقاتهم. ولأن هذه الحزم تُسحب إلى مشاريع لا تُحصى، فإن مكوّنًا واحدًا مختطفًا قادر على حمل البرمجية الخبيثة إلى ما هو أبعد بكثير من هدف واحد. وبدل نشر شيفرة خبيثة جديدة، اختار المهاجمون اختطاف حزم كانت متداولة أصلاً بصورة مشروعة وزرعوا PolinRider داخلها. وبمجرد أن يثبّت المطوّر حزمة مصابة، تُنفَّذ الشيفرة على جهازه هو، فيصبح الجهاز نقطة ارتكاز يخدم منها المشغّل ما يشاء لاحقًا. أما الجزء غير المعتاد فهو المكان الذي تبحث فيه الشيفرة عن تعليماتها. فالبرمجيات الخبيثة التقليدية تدوّن عنوان خادم مشغّلها داخل الثنائي نفسه، ما يمنح المدافعين هدفاً ثابتاً يسهل اكتشافه وحجبه، وحين يُحجب الخادم يُجبر ذلك المهاجم على إعادة بناء برمجيته وتوزيعها من جديد، وهي خطوة بطيئة ومكلفة. أما PolinRider فيعمل بطريقة أخرى: يفحص البرنامج المصاب معاملة محددة مسجّلة على إيثيريوم، ويستخرج عنوان الخادم المخبأ في حقل بيانات تلك المعاملة، ثم يتصل بالخادم لتنزيل شيفرة خبيثة إضافية وتشغيلها. ولا تحتاج هذه الخطة حتى إلى عقد ذكي، إذ تكفي بيانات المعاملة العادية لحمل العنوان. وتعوّض كتابة واحدة على السلسلة ما كان ليتطلب إعادة كتابة البرمجية الخبيثة وإعادة توزيعها بالكامل.

أفادت OX Security بأنها حدّدت عنواناً واحداً على إيثيريوم استُخدم في الحملة، إلى جانب أربعة عناوين IP لخوادم شاركت في توزيع البرمجية الخبيثة، وهي مؤشرات تمنح المدافعين عن الشبكات شيئاً ملموساً يبحثون عنه في سجلاتهم. وللاختيار بين اختطاف الحزم القائمة وإنشاء حزم جديدة دلالة واضحة: فالمكوّنات الراسخة تحمل ثقة مطوّريها وقاعدة تثبيت جاهزة، لقلّة منهم من يتوقف للتشكيك في تحديث سبق أن رأوه. وبمجرد دخول الشيفرة الخبيثة، يتولى عنصر البلوكتشين دور آلية صمود الحملة. فالسلسلة لا تحتوي على أي برمجية خبيثة بذاتها، بل على المؤشر إليها فقط، لذا فإن فحص السلسلة بحثاً عن حمولات مشبوهة لا يُظهر شيئاً واضحاً يُزال. وإذا عثر فريق أمني على خادم توزيع واحد وحجبه، يكتب المشغّل عنوان خادم جديد في معاملة إيثيريوم تالية، فتقرأ كل الأجهزة المصابة أصلاً القيد الجديد وتعيد الاتصال. لا شيء على الجهاز المصاب يلزمه بالتغيير كي تنجو العملية، وهو ما يقلب الموازين المعتادة بين المهاجم والمدافع. ويعالج التقرير كذلك الخطر الذي يهدد صاحب الجهاز: إذا نُفِّذت البرمجية فعلاً، توصي OX Security بالتحقق مما إذا كانت معلومات محفظة العملات المشفرة وبيانات تسجيل الدخول المخزّنة على الحاسوب المصاب قد تعرّضت للكشف، لأن الشيفرة التي تعمل على محطة عمل مطوّر تجلس عادةً على مقربة من تلك المخزونات تحديداً. والشركة لا تسجل أي سرقة مؤكدة، بل تضع المسألة كخطر ينبغي فحصه أينما ثبت التنفيذ. ويبيّن هذا الحالة، بحسب خلاصة الباحثين، أن المكوّنات البرمجية العادية المستخدمة في التطوير قد تتحول إلى مسار هجوم، وأن بيانات معاملات البلوكتشين العلنية يمكن إعادة توظيفها لخدمة توزيع البرمجيات الخبيثة.

قراءة البلوكتشين كبنية تحتية للمهاجم

تغيّر هذه التقنية حسابات عمليات الإغلاق. فقطع الخدمة عن خادم واحد يشتري للمدافع ساعات لا نصراً، لأن المشغّل يدفع رسوم غاز تافهة لنشر العنوان التالي على السلسلة، والبيانات المسجّلة على إيثيريوم تعتمدها المدققات ولا يمكن تعديلها أو إزالتها. وحيثما يحجب مزج العملات المشفرة حركة الأموال، يستخدم PolinRider شفافية السلسلة في الاتجاه المعاكس، موضعاً تفاصيل البنية التحتية في مرمى البصر حيث لا يعرف أن يبحث عنها سوى الشيفرة المصابة. يبقى الجهاز الطرفي إذن خط الدفاع الراسخ: تحتاج فرق التطوير إلى رؤية كاملة للحزم التي تعمل على أجهزتها وللعناوين الخارجية التي تستعلم عنها تلك الحزم. ومؤشرات OX Security المنشورة، عنوان واحد وأربعة عناوين IP لخوادم، هي نقطة الانطلاق في هذا التفتيش.