تحذيرات من برمجيات خبيثة جديدة على macOS تستهدف سرقة محافظ العملات المشفرة

• يواجه مستخدمو Apple الذين يخزنون أو يديرون العملات المشفرة تهديدًا جديدًا في مجال الأمن السيبراني. اكتشف باحثون من مختبرات Jamf Threat، وهو فريق أبحاث الأمن السيبراني، حملة تقوم بتوزيع نسخة مزيفة من تطبيق Maccy مفتوح المصدر بهدف تثبيت برمجية PamStealer، وهي برمجية خبيثة مصممة لسرقة كلمات المرور والبيانات الاعتمادية ومفاتيح محافظ العملات المشفرة.

وفقًا لتقرير الشركة، يستخدم المهاجمون موقعًا إلكترونيًا يحاكي الموقع الرسمي لـ Maccy، وهو مدير حافظة نصوص مجاني لـ macOS، لإقناع الضحايا بتنزيل صورة قرص خبيثة. عند فتح الملف، تظهر تعليمات لتشغيله من محرر النصوص الخاص بـ Apple، بينما يتم إخفاء الشيفرة الخبيثة التي تبدأ العدوى.

بمجرد دخولها إلى النظام، تتحقق البرمجية الخبيثة من كلمة مرور تسجيل الدخول للمستخدم من خلال وحدات المصادقة القابلة للتوصيل (PAM) في macOS. بعد ذلك، تقوم بتنزيل حمولة ثانية تم تطويرها باستخدام أدوات النظام الأصلية، وهي تقنية تسمح لها بتقليل فرص اكتشافها من قبل برامج الأمان.

كما تقوم البرمجية الخبيثة بإنشاء مفتاح استنادًا إلى معلومات الجهاز، مثل بنية المعالج، والإعدادات الإقليمية، وتوزيع لوحة المفاتيح، والمنطقة الزمنية. باستخدام هذا المفتاح، تقوم بفك تشفير إعدادات مشفرة تحتوي على التعليمات اللازمة لمتابعة الهجوم.

إذا نجحت العدوى، يمكن للبرمجية الخبيثة سرقة كلمات المرور المخزنة في المتصفحات، وبيانات سلسلة المفاتيح في macOS، والمعلومات المنسوخة في الحافظة، والبيانات الاعتمادية المتعلقة بمحافظ العملات المشفرة. بالإضافة إلى ذلك، تقوم بإنشاء استمرارية على الجهاز وترسل البيانات المسروقة إلى خادم بعيد عبر اتصالات مشفرة.

كجزء من الهجوم، تظهر البرمجية أيضًا نافذة مزيفة في مستعرض الملفات تطلب الوصول الكامل إلى القرص. ما يميز هذا الأمر هو أن هذا الإشعار قد يظهر بعد 40 دقيقة من التثبيت، مما يجعل من الصعب على المستخدم ربط الطلب بالتنزيل الأولي. إذا منح الإذن، تحصل البرمجية الخبيثة على الوصول إلى المعلومات المحمية، بما في ذلك رسائل البريد الإلكتروني، والرسائل، ونسخ احتياطية من Time Machine.

أوضحت الشركة أن هذا النوع من الحملات يعتمد بشكل أساسي على الهندسة الاجتماعية. وفقًا لجيرون برادلي، مدير مختبرات Jamf Threat، يقوم المجرمون السيبرانيون بشراء إعلانات على منصات مثل Google Ads وX لتوجيه المستخدمين إلى صفحات مزيفة تبدو وكأنها تقدم تطبيقات شرعية. وأضافت الشركة أنها اكتشفت مؤخرًا إعلانًا آخر مدفوعًا على X يقوم بتوزيع نسخة من البرمجية الخبيثة Atomic Stealer من خلال حساب موثق، مما يزيد من مصداقية الخداع.

على الرغم من أن الشركة أكدت أنها لم تجد بعد أدلة على أن PamStealer يتم استخدامه بشكل نشط، إلا أنها أبلغت Apple عن اكتشافاتها. حتى الآن، لم تصدر الشركة أي تعليقات عامة حول القضية.

يستنتج الباحثون أن هذه الحملة تعكس اتجاهًا متزايدًا بين المجرمين السيبرانيين: تمويه البرمجيات الخبيثة كبرمجيات شرعية واستغلال المنصات الموثوقة لتوزيعها. وأكد تقرير من شركة الأبحاث TRM Labs أن هناك زيادة في عدد الهجمات في عام 2026، مع خسائر إجمالية بلغت 972 مليون دولار أمريكي، كما أفادت CriptoNoticias.

بالنسبة لمستخدمي العملات المشفرة، تمثل هذه التهديدات خطرًا كبيرًا، حيث يمكن أن يؤدي سرقة البيانات الاعتمادية أو مفاتيح المحفظة إلى فقدان الأموال الرقمية بشكل لا يمكن استرداده.

إخلاء مسؤولية: يُقدَّم هذا المحتوى لأغراض الترويج العام والمعلومات فقط، ولا يُعدّ نصيحة مالية أو استثمارية أو قانونية أو ضريبية. لا تُعتبر أي أحداث أو مكافآت أو فعاليات عبر الإنترنت أو معلومات ذات صلة مذكورة هنا توصيةً أو دعوةً لشراء أو بيع أو تداول أو التعامل بأي شكل من الأشكال في أي أصول مشفرة أو استخدام أي خدمات. الأصول المشفرة شديدة التقلب وقد تؤدي إلى الخسارة. قد لا تتوفر خدمات WEEX وفعالياتها عبر الإنترنت في جميع المناطق، وتخضع للقوانين واللوائح وشروط الأهلية المعمول بها. أنت مسؤول عن ضمان توافق استخدامك لخدمات WEEX مع القوانين المحلية، وعن تقييم المخاطر بعناية قبل المشاركة في أي أنشطة متعلقة بالعملات المشفرة.