يستغل قراصنة الإنترنت نتائج البحث في "غوغل" للترويج لتطبيقات مزيفة لبرنامجي تشات جي بي تي وكلود على أجهزة الكمبيوتر، بهدف إصابة الأجهزة ببرمجيات خبيثة تستخدم مواردها في تعدين العملات المشفرة، عبر حيلة تقنية تسمح بتجاوز بعض إجراءات الحماية في نظام ويندوز.
وقد تبدو ملفات التثبيت المزيفة شرعية تماماً للوهلة الأولى، ما يدفع المستخدمين إلى تنزيلها وتشغيلها دون الاشتباه في وجود تهديد أمني.
وتكمن خطورة الحملة في اعتمادها على ملفات برمجية أصلية وموقعة رقمياً من الشركات المطورة، لاستغلال ثقة نظام التشغيل بها وتجنب إطلاق تحذيرات أمنية واضحة.
ورصد باحثون أمنيون في شركة Check Point Research هذه الحملة بعد اكتشاف صفحات مزيفة على منصة GitHub تظهر في مراتب متقدمة ضمن نتائج بحث "غوغل"، وتروج لتنزيل تطبيقات سطح المكتب الخاصة بتشات جي بي تي وكلود.
وعند تنزيل الملفات، يحصل المستخدم على مجلد مضغوط بصيغة ZIP يحتوي على ملف تثبيت حقيقي وموقع رقمياً من شركتي "OpenAI" أو "أنثروبيك"، إلى جانب ملف خبيث يحمل اسم winmm.dll، بحسب تقرير نشره موقع "androidheadlines" واطلعت عليه "العربية Business".
وعندما يشغّل المستخدم ملف التثبيت الرسمي، يقوم نظام ويندوز بتحميل المكتبة الخبيثة الموجودة في المجلد نفسه، مستغلاً تقنية تعرف باسم "التحميل الجانبي لملفات DLL Sideloading"، تسمح للمهاجمين بتشغيل شيفرات ضارة من خلال تطبيقات شرعية.
حيل تقنية لإخفاء البرمجية الخبيثة والبقاء داخل النظام
وكشف تحليل أجرته شركة Gridinsoft أن البرمجية الخبيثة تخدع المستخدمين للموافقة على منحها صلاحيات المسؤول، قبل أن تبدأ في تثبيت نفسها بصورة خفية داخل مجلدات النظام، وفقاً لما أورده موقع "NotebookCheck".
ولا تعتمد البرمجية على خوادم خاصة واضحة لإرسال التعليمات وتلقيها، بل تستخدم أساليب أكثر تعقيداً، إذ تستخرج أوامر جديدة من خلال فحص صورة الملف الشخصي لقناة على تطبيق "تيليغرام"، والاستعلام عن سجلات نظام أسماء النطاقات (DNS) التابع لشركة غوغل.
ويساعد إخفاء حركة البيانات الضارة داخل خدمات الإنترنت المعتادة على جعل اكتشاف الهجوم أكثر صعوبة أمام برامج مكافحة الفيروسات التقليدية.
أما الحمولة الخبيثة النهائية التي تنشرها الحملة، فهي برمجية لتعدين العملات المشفرة تستنزف موارد المعالج ومكونات الجهاز الأخرى، لكنها تتوقف مؤقتاً عن العمل عندما يحرك المستخدم مؤشر الفأرة، في محاولة لتقليل احتمالات ملاحظة بطء الجهاز أو ارتفاع استهلاك موارده.
وأظهر تحليل الشيفرة البرمجية أن أداة التثبيت الخبيثة تتجنب إصابة الأجهزة التي تستخدم تخطيطات لوحات مفاتيح روسية أو تابعة لدول مجاورة، ما يجعل الأنظمة الأوكرانية الهدف الإقليمي الوحيد للحملة وفقاً للتحليل.
وحذر ياش كاداكيا، المدير التقني لشركة Security Brigade، من أن الاعتماد على وجود توقيع رقمي صالح للملف لم يعد كافياً وحده لضمان سلامة الكمبيوتر، خصوصاً مع قدرة المهاجمين على استغلال ملفات أصلية موقعة لتشغيل مكونات خبيثة إلى جوارها.
حملة سابقة استهدفت مطوري البرمجيات
لم تكن هذه المرة الأولى التي يستخدم فيها المهاجمون أداة التحميل الخبيثة نفسها، إذ استهدفت إصدارات سابقة منها مطوري البرمجيات في يونيو 2026، عبر التظاهر بأنها أداة البرمجة بالذكاء الاصطناعي Cursor.
وتكمن الخطورة الأكبر في أن أداة التحميل قادرة على تنفيذ أي أوامر تتلقاها عن بُعد، ما يعني أن المهاجمين يمكنهم استخدامها في حملات مستقبلية لنشر برمجيات سرقة كلمات المرور والبيانات الحساسة، بدلاً من الاقتصار على تعدين العملات المشفرة في الخلفية.
وفي حال تشغيل أحد ملفات التثبيت المزيفة عن طريق الخطأ، ينصح بفصل الكمبيوتر عن الإنترنت وفحص مجلدات النظام بحثاً عن الملفات المشبوهة، لتقليل احتمالات استمرار البرمجية الخبيثة في الاتصال بمصادرها وتنفيذ أوامر إضافية.
كيف تحمّل تطبيقات الذكاء الاصطناعي بأمان؟
تظل الطريقة الأكثر أماناً لتنزيل تطبيقات الذكاء الاصطناعي المخصصة لأجهزة الكمبيوتر هي الاعتماد على القنوات الرسمية للمطورين، مثل متجر Microsoft Store أو المواقع الإلكترونية الرسمية للشركات، ومن بينها موقع "OpenAI".
وتعتمد هذه الحملة على استغلال ثقة المستخدمين في نتائج البحث المتقدمة على "غوغل" وصفحات GitHub، إذ قد يفترض البعض أن ظهور رابط في مقدمة نتائج البحث، أو وجود مستودع برمجي يبدو احترافياً على منصة معروفة، يعني بالضرورة أنه آمن وموثوق.
لكن المظهر الرسمي للصفحات والملفات، وحتى وجود توقيع رقمي صالح، لا يمثل ضماناً كافياً لسلامة البرامج، ما يجعل التحقق من مصدر التنزيل خطوة أساسية قبل تثبيت أي تطبيق على الكمبيوتر.