ظهر برنامج ضار جديد يُدعى “GhostClaw” يستهدف محافظ العملات الرقمية على أجهزة ماك. حيث يقوم برنامج التثبيت المزيف لـ “OpenClaw” بسرقة المفاتيح الخاصة، والوصول إلى المحافظ، وبيانات حساسة أخرى بعد التثبيت.
كيف يعمل برنامج GhostClaw الضار؟
تم رفع الحزمة المزيفة على سجل npm من قبل مستخدم باسم ‘openclaw-ai’ في 3 مارس. وبقيت لمدة أسبوع، وأصابت 178 مطوراً قبل إزالتها في 10 مارس.
كان البرنامج الضار يتظاهر بأنه أداة OpenClaw CLI الشرعية، ولكنه في الحقيقة نفذ هجوماً متعدد المراحل. حيث قام بجمع بيانات حساسة من المطورين، شملت:
- معلومات محافظ العملات المشفرة.
- كلمات مرور Keychain الخاصة بنظام macOS.
- بيانات اعتماد الحسابات السحابية.
- مفاتيح SSH.
- إعدادات وكلاء الذكاء الاصطناعي.
باستخدام هذه البيانات، يستطيع المخترقون الوصول إلى المنصات السحابية، وقواعد الأكواد، والأصول الرقمية.
مراقبة الحافظة وسرقة البيانات
يراقب البرنامج الضار الحافظة (Clipboard) كل ثلاث ثوانٍ لالتقاط بيانات العملات الرقمية، مثل المفاتيح الخاصة، وعبارات الاسترداد، والمفاتيح العامة.
بمجرد أن يقوم المطور بتنفيذ أمر ‘npm install’، يتم تثبيت حزمة GhostClaw تلقائياً. ثم تظهر أداة تثبيت مزيفة تطلب من الضحية إدخال كلمة مرور نظام macOS. بعد التحقق من كلمة المرور، يقوم البرنامج بتحميل حمولة ثانية خبيثة تسمى GhostLoader.
تبدأ سرقة البيانات بعد تحميل الحمولة الثانية. حيث يقوم GhostLoader بما يلي:
- فحص متصفحات Chromium و Keychain وذاكرة النظام للعثور على بيانات محفظة العملات الرقمية.
- مراقبة الحافظة باستمرار لسرقة المعلومات الحساسة.
- استنساخ جلسات المتصفح للوصول المباشر إلى المحافظ المتصلة.
- سرقة رموز API التي تربط المطورين بمنصات الذكاء الاصطناعي مثل OpenAI.
يتم إرسال البيانات المسروقة بعد ذلك إلى المخترقين عبر Telegram وخدمات أخرى. كما يمكن للبرنامج الضار تنفيذ أوامر إضافية وفتح قنوات وصول عن بعد جديدة.
هجوم آخر: عروض رموز CLAW المزيفة
تم اكتشاف حملة خبيثة أخرى تستغل شهرة OpenClaw على منصة GitHub. حيث ينشر المهاجمون رسائل في مستودعات GitHub يزعمون فيها أن مطورين محددين مؤهلين للحصول على 5000 دولار من رموز CLAW.
تقود هذه الرسائل المطورين إلى موقع ويب مزيف يشبه الموقع الرسمي لـ OpenClaw. وعندما يحاول المستخدم ربط محفظته الرقمية بالموقع المزيف، يتم سرقة أمواله على الفور.
اكتشف باحثو الأمن السيبراني محفظة رقمية مرتبطة بالمهاجمين قد تحتوي على أموال مسروقة. ويركز هذا الهجوم على المستخدمين الذين تفاعلوا سابقاً مع مشاريع مرتبطة بـ OpenClaw لزيادة فرص النجاح.
الأسئلة الشائعة (FAQs)
س: ما هو برنامج GhostClaw الضار؟
ج: برنامج خبيث يستهدف أجهزة ماك لسرقة بيانات محافظ العملات الرقمية، وكلمات المرور، والمعلومات الحساسة الأخرى من المطورين.
س: كيف أحمي نفسي من هذه الهجمات؟
ج: لا تقم أبداً بربط محفظتك الرقمية بمواقع ويب غير معروفة، واحذر من العروض غير المطلوبة للرموز المميزة على GitHub أو غيرها، وتحقق دائماً من مصادر البرامج قبل تثبيتها.
س: ما الذي يسرقه هذا البرنامج الضار؟
ج: يسرق المفاتيح الخاصة لمحافظ العملات الرقمية، وعبارات الاسترداد، وكلمات مرور النظام، وجلسات المتصفح، ورموز API الخاصة بمنصات الذكاء الاصطناعي والخدمات السحابية.
