قالت شركة الأمن السيبراني تريلكس Trellix إن الجهات الفاعلة في مجال التهديد تستخدم مواقع الويب المزيفة التي تتنكر كحلول مشروعة لمكافحة الفيروسات من Avast وBitdefender وMalwarebytes لنشر برامج ضارة قادرة على سرقة المعلومات الحساسة من أجهزة أندرويد وويندوز.

وقال جورومورثي راماناثان، الباحث الأمني ​​في تريليكس : "إن استضافة البرامج الضارة من خلال المواقع التي تبدو مشروعة يعد أمرًا مفترسًا لعامة المستهلكين، وخاصة أولئك الذين يتطلعون إلى حماية أجهزتهم من الهجمات الإلكترونية".

قائمة المواقع أدناه -

avast-securedownload[.]com، والذي يُستخدم لتسليم حصان طروادة SpyNote في شكل ملف حزمة Android ("Avast.apk") والذي، بمجرد تثبيته، يطلب أذونات تدخلية لقراءة الرسائل القصيرة وسجلات المكالمات وتثبيتها حذف التطبيقات، والتقاط لقطة الشاشة، وتتبع الموقع، وحتى استخراج العملات المشفرة
bitdefender-app[.]com، والذي يُستخدم لتقديم ملف أرشيف ZIP ("setup-win-x86-x64.exe.zip") الذي ينشر البرامج الضارة لسرقة المعلومات Lumma
برنامج Malwarebytes[.]pro، والذي يُستخدم لتقديم ملف أرشيف RAR ("MBSetup.rar") الذي ينشر برنامج StealC الضار لسرقة المعلومات
وقالت شركة الأمن السيبراني إنها كشفت أيضًا عن برنامج ثنائي Trellix مخادع يسمى "AMCoreDat.exe" يعمل كقناة لإسقاط برنامج ضار سارق قادر على جمع معلومات الضحية، بما في ذلك بيانات المتصفح، وإخراجها إلى خادم بعيد.

ليس من الواضح حاليًا كيفية توزيع مواقع الويب الزائفة هذه، ولكن الحملات المماثلة في الماضي استخدمت تقنيات مثل الإعلانات الضارة وإفساد محركات البحث (SEO) .

أصبحت البرامج الضارة السارقة تهديدًا شائعًا بشكل متزايد، حيث يقوم مجرمو الإنترنت بالإعلان عن العديد من المتغيرات المخصصة بمستويات متفاوتة من التعقيد. يتضمن ذلك برامج سرقة جديدة مثل Acrid و SamsStealer و ScarletStealer و Waltuhium Grabber ، بالإضافة إلى تحديثات للبرامج الموجودة مثل SYS01stealer (المعروف أيضًا باسم Album Stealer أو S1deload Stealer ).

وقالت كاسبرسكي في تقرير حديث: "إن حقيقة ظهور سارقين جدد بين الحين والآخر، بالإضافة إلى حقيقة أن وظائفهم وتطورهم يختلفان بشكل كبير، تشير إلى أن هناك طلبًا في السوق الإجرامية على السارقين".

وفي وقت سابق من هذا الأسبوع، قامت شركة الأمن السيبراني الروسية أيضًا بتفصيل حملة برمجيات خبيثة Gipy تستفيد من شعبية أدوات الذكاء الاصطناعي (AI) من خلال الإعلان عن مولد صوت مزيف يعمل بالذكاء الاصطناعي عبر مواقع التصيد الاحتيالي.

بمجرد التثبيت، يقوم Gipy بتحميل برامج ضارة خارجية مستضافة على GitHub، بدءًا من أدوات سرقة المعلومات (Lumma وRedLine وRisePro وLOLI Stealer) وعمال المناجم للعملات المشفرة (Apocalypse ClipBanker) إلى أحصنة طروادة للوصول عن بعد (DCRat وRADXRat) والأبواب الخلفية (TrueClient).

ويأتي هذا التطوير في الوقت الذي اكتشف فيه الباحثون حصان طروادة مصرفي جديد يعمل بنظام Android يسمى Antidot والذي يتنكر في صورة تحديث Google Play لتسهيل سرقة المعلومات عن طريق إساءة استخدام إمكانية الوصول إلى Android وواجهات برمجة تطبيقات MediaProjection .

وقالت شركة سيمانتيك المملوكة لشركة Broadcom في نشرة: "من الناحية الوظيفية، فإن Antidot قادر على تسجيل ضربات المفاتيح، والهجمات المتراكبة، واستخراج الرسائل القصيرة، والتقاط الشاشة، وسرقة بيانات الاعتماد، والتحكم في الجهاز، وتنفيذ الأوامر الواردة من المهاجمين".

كيفية الحماية من مواقع مكافحة الفيروسات المزيفة
• تحقق دائمًا من الروابط قبل النقر عليها
• ‏كن على علم بمواقع الويب التي تزورها وتأكد من شرعيتها
• ‏استخدم حلول الأمن السيبراني القوية لضمان حمايتك من هذه الأنواع من السلوكيات الضارة
• ‏لا تستخدم أبدًا البرامج ذات الإصدارات المقرصنة التي تؤدي إلى تنزيل الثنائيات المزيفة/الضارة
• ‏قم بالتحقق مرة أخرى من شرعية البرنامج الذي تقوم بتنزيله مع موفر End-Point الخاص بك

المصادر: The Hacker News, Trellix