قراصنة يستهدفون باحثين في الأمن السيبراني بمؤتمر عملات رقمية وهمي

كشف باحثون في شركة Huntress للأمن السيبراني عن حملة تصيّد احتيالي متطورة استهدفت عدداً من المتخصصين في مجال الأمن الرقمي خلال أغسطس 2026، وذلك في توقيت مدروس يُصادف انعقاد مؤتمرَي Black Hat وDEF CON الأمنيَّين الكبيرَين. وتكشف هذه الحادثة عن أسلوب جديد في استغلال أدوات الإنتاجية المشروعة لتوصيل برمجيات خبيثة إلى أهداف يصعب خداعهم عادةً.

استعان مُنفّذ الهجوم بهوية مزيّفة لموظف في أحد المواقع الإخبارية المعروفة في مجال العملات الرقمية، وتواصل عبر منصة X (تويتر سابقاً) مع الباحثين المستهدفين بدعوات للمشاركة في مؤتمر عملات رقمية وهمي. وحين يأتي ردّ الفاعل، يُرسل رابطاً إلى وثيقة على Google Docs، يُدّعى أنها تحتوي على معلومات سرية تستلزم رمز فك تشفير خاصاً.

وتكمن خبث الأسلوب في ما بنيَ داخل الوثيقة: شريط جانبي مزيّف أُنشئ باستخدام Google App Script، يطلب من المستخدم إدخال رمز التشفير. وعند إدخال أي رمز، يبدأ تنفيذ حمولة خبيثة مُصمَّمة وفق نظام تشغيل الضحية. فعلى نظام macOS تُنفَّذ برمجية سرقة المعلومات التي تسطو على كلمات المرور ومفاتيح المحافظ الرقمية ورموز الجلسات، أما على نظام Windows فيُستخدم أداة وصول عن بُعد مُعاد توظيفها للسيطرة على الجهاز، فيما يتخفى الهجوم على أنظمة أخرى في هيئة تطبيق تثبيت مزيّف لمحفظة Ledger للعملات المشفرة.

ما يُميّز هذه الحملة عن غيرها من هجمات التصيّد الاحتيالي هو توظيف ميزة مشروعة في Google Docs لإضفاء مصداقية على الوثيقة المفخّخة. فالمستخدم لا يُحمّل ملفاً مجهول المصدر ولا ينقر على رابط مشبوه، بل يتعامل مع وثيقة على المنصة الموثوقة لدى الجميع. وهذا ما جعل الهجوم أكثر إقناعاً حتى في مواجهة متخصصين في الأمن يتسلحون بحذر فطري تجاه الأساليب التقليدية.

وقد أفلح أحد باحثي شركة Huntress في اكتشاف الحملة حين كان هو نفسه أحد المستهدفين. وقام فريقه بتحليل المنظومة الكاملة للهجوم وتوثيقها، مما أتاح لهم تحديد طبيعة البرمجيات الخبيثة المستخدمة والجهات المرتبطة بها.

تندرج هذه الحادثة في سياق موجة متصاعدة من الهجمات التي تستهدف مجتمع الأمن السيبراني نفسه. وقد رصدت تقارير سابقة صادرة عن جوجل وشركات أمنية أخرى محاولات مماثلة تستغل المؤتمرات الأمنية الكبرى ذريعةً لاستدراج الباحثين، إذ يتمتعون بقيمة استخباراتية عالية نظراً لإطلاعهم على ثغرات غير منشورة وأنظمة حساسة.

تكتسب هذه الحادثة ثقلاً مضاعفاً في السياق الخليجي، حيث تُعدّ دول الإمارات والسعودية وقطر من أكثر دول المنطقة استهدافاً في مجال التجسس الإلكتروني. وقد رصد الباحثون الأمنيون العرب تصاعداً في استخدام أساليب انتحال الشخصية والدعوات الوهمية في المؤتمرات التقنية لاستهداف كوادر الأمن السيبراني في منطقة الخليج. وتعمل جهات كالهيئة الوطنية للأمن السيبراني السعودية والمجلس الوطني للأمن الإلكتروني الإماراتي على رفع مستوى التوعية بهذه الأساليب، وإن كانت التقنيات المستخدمة في هذا الهجوم تُبيّن أن المهاجمين يطوّرون أدواتهم بسرعة تفوق ما تُواكبه بروتوكولات الحماية المعتادة.

ويُوصي الباحثون بتوخّي الحذر الشديد عند تلقّي دعوات من حسابات غير معروفة حتى وإن بدت وثيقة Google Docs في ظاهرها غير ضارة، والتحقق من هوية المرسل عبر قنوات مستقلة قبل فتح أي ملف أو إدخال أي بيانات. كما تجدر مراجعة الأذونات الممنوحة للنصوص البرمجية في مستندات Google بصفة دورية.