احذر أول نتيجة في جوجل: حملة Armorsteal تسرق كلمات المرور عبر مواقع مزيفة
اعتدنا أن نثق في النتائج الأولى على جوجل، فإذا بحثنا عن أداة أو برنامج ضغطنا غالباً على أول رابط دون تفكير. هذه العادة البسيطة هي بالضبط ما استغلته حملة اختراق جديدة كشفت عنها شركة الأمن Zscaler يوم 22 أكتوبر 2026، نشرت من خلالها برنامجاً خبيثاً جديداً اسمه Armorsteal لسرقة كلمات المرور ومحافظ العملات الرقمية والتجسس على كل ما يكتبه الضحية.
الحملة تعتمد على أسلوب يعرف باسم تسميم نتائج البحث أو SEO Poisoning، وهي تستحق أن تعرف تفاصيلها حتى لا تقع في فخ مشابه.
ما هو تسميم نتائج البحث؟
الفكرة بسيطة ومخيفة في الوقت نفسه: ينشئ المخترقون موقعاً يشبه موقع برنامج معروف، باسم نطاق قريب جداً من الاسم الأصلي مع خطأ إملائي صغير، ثم يستخدمون أساليب تحسين محركات البحث لدفع هذا الموقع المزيف إلى أعلى نتائج جوجل. وعندما يبحث المستخدم عن البرنامج، يجد الموقع المزيف في المقدمة فيثق فيه.
في هذه الحملة استهدف المهاجمون من يبحثون عن أداتين بالتحديد:
- Chocolatey، وهو مدير حزم شهير يستخدمه المبرمجون ومسؤولو الأنظمة لتثبيت البرامج على ويندوز.
- Microsoft Activation Scripts المعروفة باسم MAS أو Massgrave، وهي سكربتات غير رسمية لتفعيل ويندوز وأوفيس.
وبحسب Zscaler، سُجل نطاقان مزيفان في نهاية أغسطس وبداية سبتمبر 2026، يحمل كل منهما اسماً يكاد يطابق الاسم الأصلي مع تغيير حرف واحد، وتمكنا من الوصول إلى مراتب متقدمة في نتائج البحث لعبارات مثل "تثبيت Chocolatey" و"سكربت تفعيل مايكروسوفت".
كيف يحدث الاختراق خطوة بخطوة؟
لم يطلب الموقع المزيف من الضحية تحميل ملف مريب كما في الهجمات التقليدية، بل عرض عليه أمر PowerShell جاهزاً للنسخ واللصق، وهي الطريقة نفسها التي تستخدمها المواقع الحقيقية لهذه الأدوات، لذلك لم يشعر أحد بالشك.
بمجرد تشغيل الأمر:
- يطلب السكربت صلاحيات المسؤول، ويخفي نافذة الأوامر حتى لا يرى المستخدم ما يحدث.
- يحمّل ملفاً مضغوطاً إلى مجلد داخل Windows يحمل اسماً يوحي بأنه جزء من النظام.
- يثبت بيئة Python كاملة ومعها ملفات البرنامج الخبيث مشفرة بأداة Pyarmor لإخفاء محتواها.
- في حالة Chocolatey، يشغّل أيضاً أداة التثبيت الحقيقية، فيظن المستخدم أن كل شيء تم بنجاح.
هذه الخطوة الأخيرة ذكية للغاية، فالضحية يحصل على ما أراده بالفعل، ولا يوجد ما يدفعه إلى الشك في أن جهازه أصبح مخترقاً.
ماذا يسرق Armorsteal؟
البرنامج يتكون من ثلاثة أجزاء رئيسية: جزء للتحكم عن بعد، وجزء للتجسس، وجزء لسرقة البيانات. وقائمة ما يستهدفه طويلة:
- بيانات المتصفحات: كلمات المرور المحفوظة، وملفات تعريف الارتباط التي قد تسمح بالدخول إلى حساباتك دون كلمة مرور، وبيانات الملء التلقائي.
- العملات الرقمية: 21 محفظة بين إضافات المتصفح والتطبيقات، مع البحث في كل الأقراص عن عبارات الاسترداد السرية.
- مديرو كلمات المرور: مثل KeePass و1Password وBitwarden وDashlane.
- حسابات أخرى: رموز دخول Discord، وجلسات Steam، ومفاتيح SSH التي يستخدمها المبرمجون للدخول إلى الخوادم.
أما جزء التجسس فيسجل كل ضغطة على لوحة المفاتيح، ويراقب الحافظة، والأخطر أنه يستبدل عناوين محافظ العملات الرقمية عند نسخها؛ فإذا نسخت عنوان محفظة لترسل إليها أموالاً، وضع البرنامج عنوان المهاجم مكانه دون أن تلاحظ. كما يلتقط صوراً للشاشة عندما تظهر كلمات معينة.
برنامج يعرف كيف يختبئ
يحرص Armorsteal على البقاء في الجهاز عبر مهمتين مجدولتين تعملان عند تسجيل الدخول وعند تشغيل الجهاز. ويستخدم أيضاً حيلة لافتة لتفادي أنظمة التحليل الأمني: إذا اكتشف أنه يعمل على خادم تابع لجوجل أو أمازون أو مايكروسوفت، وهي البيئات التي يستخدمها الباحثون عادة لتحليل البرامج الخبيثة، يعرض رسالة خطأ مزيفة تقول إن الذاكرة غير كافية ثم يتوقف.
وتشير Zscaler إلى أن المهاجمين غيّروا خوادم التحكم في بداية أكتوبر وأضافوا طبقة تحقق جديدة، ما يعني أن الحملة ما زالت نشطة وتتطور، رغم أن المواقع المزيفة نفسها توقفت عن العمل.
لماذا ينجح هذا الأسلوب؟
لأنه لا يعتمد على ثغرة تقنية في ويندوز، بل على ثقة المستخدم. فالضحية هو من يبحث، وهو من يفتح الموقع، وهو من ينسخ الأمر ويشغله بنفسه ويوافق على منحه صلاحيات المسؤول. ولهذا لا توقف برامج الحماية هذا النوع من الهجمات دائماً، فهي ترى مستخدماً يشغّل أمراً بإرادته. كما أن الإعلانات المدفوعة في نتائج البحث يمكن استغلالها بالطريقة نفسها، لذلك انتبه حتى للروابط التي تظهر في أعلى الصفحة تحت كلمة "إعلان".
كيف تحمي نفسك من فخ نتائج البحث؟
- حمّل البرامج من مواقعها الرسمية فقط، واكتب العنوان بنفسك أو احفظه في المفضلة بدلاً من البحث عنه في كل مرة.
- دقق في اسم النطاق حرفاً حرفاً قبل أي تحميل؛ حرف ناقص أو زائد كافٍ ليكون الموقع مزيفاً.
- لا تنسخ أوامر PowerShell أو Terminal من أي موقع لا تثق فيه ثقة كاملة، فهذه الأوامر تعمل بصلاحيات واسعة جداً.
- ابتعد عن أدوات التفعيل غير الرسمية والبرامج المقرصنة، فهي من أكثر الطعوم استخداماً في نشر البرامج الخبيثة، والترخيص الرسمي أرخص كثيراً من خسارة بياناتك.
- تحقق من عنوان المحفظة مرتين قبل إرسال أي عملات رقمية، وقارن أول وآخر عدة أحرف بعد اللصق.
- فعّل المصادقة الثنائية على حساباتك المهمة، حتى لا تكفي كلمة المرور المسروقة وحدها لاختراقها.
هل جهازك مصاب؟ علامات تستحق الفحص
إذا كنت قد بحثت عن Chocolatey أو أدوات تفعيل ويندوز خلال سبتمبر وبداية أكتوبر 2026 ونفذت أمراً من موقع غير رسمي، فراجع ما يلي، أو اطلب ذلك من مختص:
- افتح برنامج جدولة المهام وابحث عن مهام باسم SysCheck2 أو SysCheckX.
- تحقق من وجود مجلد C:\Windows\SystemHealth\Update، فهو ليس مجلداً أصلياً في ويندوز.
- راجع إعدادات Microsoft Defender وتأكد من عدم وجود استثناءات لم تضفها بنفسك، خاصة لمجلد Windows.
وإذا وجدت أياً من ذلك، فافصل الجهاز عن الإنترنت، وغيّر كلمات مرورك من جهاز آخر نظيف، وانقل أي عملات رقمية إلى محفظة جديدة بعبارة استرداد جديدة، ثم أعد تثبيت ويندوز أو استعن بمختص لتنظيف الجهاز.
الخلاصة
حملة Armorsteal تذكير قوي بأن الترتيب الأول في جوجل لا يعني الأمان، وأن المهاجمين صاروا يقلدون الطرق التي يثق بها المستخدمون، مثل أوامر التثبيت السريعة. المصدر الرسمي، والتدقيق في اسم الموقع، والحذر من أي أمر لا تفهمه، ثلاث عادات بسيطة تحميك من معظم هذه الفخاخ.
المصدر: تقرير Zscaler ThreatLabz بتاريخ 22 أكتوبر 2026، وموقع SecurityOnline.
ولأن البحث على الإنترنت هو بوابتنا اليومية إلى كل شيء، يمتد اهتمامنا من متابعة المواقع العربية والمدونات المتخصصة، إلى جانب ما توفره متاجر مصر ومتاجر الكويت ومتاجر الفيتامينات والمواقع الأجنبية، مع الاعتماد على موقع مشهور لخدمات السوشيال عاملاً أساسياً للنجاح والاستمرارية.
و الى هنا إخوانى وأخواتى الأعزاء نكون قد أتممنا المهمة بنجاح ✌
صلوا عالحبيب قلوبكم تطيب وافعلوا الخير مهما كان صغيراً 🎯🌷
ولا تنسوا إخواننا فى كل مكان من دعائكم📌
وتقبلوا تحيات فريق #Ezznology #عز_التقنية
كما يمكنكم الإطلاع على منتجات متجرنا من هنا 👈#متجرنا 🌷او هنا
وللإنضمام الى اسرتنا على جروب التليجرام من👈هنا
وكذلك جروب الفيس بوك والذى نقوم بمشاركة المعلومات عليه ومساعدة الأعضاء من👈هنا
وللإشتراك فى نشرتنا الإخبارية على اخبار جوجل اضغط هنا✌👇
Ezznology on Google news
مواضيع أخرى قد تهمك أيضاً :
ماهو التصيد الاحتيالى؟ وكيف يتم ؟ وطرق الحماية منه ؟
تحديث ويندوز أكتوبر 2026: مايكروسوفت تصلح 1411 ثغرة بينها ثغرة يوم صفر مستغلة
