حملة تصيد عبر واتساب تخترق الحواسيب بملفات أعمال مزيفة

أبرز النقاط

• حملة تصيد نشطة تستهدف مستخدمي واتساب في 11 دولة عبر ملفات VBScript خبيثة
• المهاجمون يستغلون برنامج ManageEngine Endpoint Central الشرعي للتحكم عن بُعد بأجهزة الضحايا
• الرسائل تُرسل من حسابات مخترقة لجهات اتصال موثوقة مما يزيد احتمالية فتحها

تتعرض أجهزة الحاسوب في أكثر من 11 دولة لحملة تصيد احتيالي متطورة عبر واتساب، حيث يستغل المهاجمون ملفات VBScript خبيثة متنكرة في شكل مستندات مالية وتجارية لاختراق الأنظمة والتحكم بها عن بُعد. الخطورة الحقيقية تكمن في أن الرسائل تصل من حسابات جهات اتصال موثوقة سبق اختراقها، مما يُسقط حاجز الشك لدى الضحايا.

كيف تعمل حملة التصيد عبر واتساب؟

كشفت شركة كاسبرسكي للأمن السيبراني عن تفاصيل هذه الحملة التي تنتشر في البرازيل والهند والمكسيك وسنغافورة والمملكة المتحدة وإسبانيا وتايوان وأستراليا وروسيا وفيتنام وماليزيا. تبدأ الهجمة برسالة واتساب من حساب مخترق لا تحتوي سوى ملف VBS مشفر بشدة.

يحمل الملف أسماء توحي بأنه تقرير مالي أو فاتورة أو إشعار حساب — صياغات مدروسة لإثارة فضول المتلقي ودفعه للفتح. اللافت أن أسماء الملفات مترجمة لعدة لغات محلية، مما يؤكد الطابع العالمي للحملة واستهدافها المدروس.

ما الذي يحدث عند فتح الملف الخبيث؟

حين يُحمّل الضحية الملف ويفتحه على نظام Windows، يبدأ سكربت VBScript بجلب سكربتين إضافيين من خوادم المهاجمين. تقوم هذه السكربتات بتعطيل حماية التحكم في حساب المستخدم (UAC) عبر تعديلات في سجل النظام، ثم تُنزّل أرشيف ZIP يحتوي برنامج ManageEngine Endpoint Central.

يُثبَّت البرنامج بصمت في الخلفية ويُهيَّأ للاتصال بخوادم إدارة يتحكم بها المهاجمون، مما يمنحهم صلاحيات إدارة كاملة عن بُعد على جهاز الضحية. الخبث هنا أن ManageEngine أداة شرعية يستخدمها مديرو تقنية المعلومات لإدارة الأنظمة مركزياً، فلا تُثير أنظمة الحماية التقليدية.

• الرسائل تصل من حسابات واتساب مخترقة لجهات اتصال حقيقية
• ملفات VBScript مشفرة بأسماء مستندات مالية محلية اللغة
• تعطيل UAC وتثبيت صامت لبرنامج إدارة شرعي
• تحكم كامل عن بُعد عبر خوادم المهاجمين

فرق خطير بين واتساب ويب وتطبيق سطح المكتب

أوضحت كاسبرسكي فارقاً تقنياً مهماً: عند استلام الملف عبر WhatsApp Web، يجب تحميله أولاً قبل تنفيذه. لكن في تطبيق WhatsApp Desktop، يمكن تنفيذ الملف مباشرة عبر Windows Script Host دون خطوة تحميل منفصلة — مما يُقصّر سلسلة الهجوم ويزيد احتمالية نجاحها.

من يقف وراء هذه الحملة؟

لم تنسب كاسبرسكي الهجمات لجهة تهديد محددة، لكن الباحثين وجدوا مؤشرات على استخدام اللغة الصينية وتداخلاً في البنية التحتية مع عناوين IP سبق ربطها بنشاط برمجيتي ValleyRAT و Gh0st RAT. غير أن الأدلة لا تكفي لإسناد الهجوم بثقة عالية.

أما عن طريقة اختراق حسابات واتساب المُستخدمة في توزيع الملفات، فلا تزال مجهولة حتى الآن وفق ما أفادت كاسبرسكي.

كيف تحمي نفسك من تصيد واتساب؟

• تعامل بحذر مع أي ملف يصلك عبر واتساب حتى من جهات اتصال موثوقة
• تحقق من المرسل عبر قناة ثانية (مكالمة أو رسالة منفصلة) قبل فتح أي مرفق
• افحص كل ملف مُحمَّل ببرنامج مكافحة فيروسات محدّث قبل تشغيله
• انتبه لملفات بامتدادات غير مألوفة مثل .vbs أو .vbe أو .wsf

الأسئلة الشائعة

هل يمكن أن أُصاب بالبرمجية الخبيثة على هاتفي؟

هذه الحملة تستهدف أجهزة Windows تحديداً. ملفات VBScript لا تعمل على أنظمة iOS أو Android، لكن حساب واتساب المخترق على الهاتف يُستخدم لنشر الملفات للضحايا.

كيف أعرف إذا كان حسابي على واتساب مخترقاً؟

راجع الأجهزة المرتبطة في إعدادات واتساب وأزل أي جهاز غير مألوف. إذا أبلغك أصدقاؤك عن رسائل لم ترسلها، فحسابك على الأرجح مخترق.

ما هو ManageEngine Endpoint Central ولماذا يستخدمه المهاجمون؟

برنامج شرعي لإدارة الأجهزة عن بُعد تستخدمه أقسام تقنية المعلومات. يستغله المهاجمون لأنه موقّع رقمياً ولا تحظره معظم برامج الحماية.

هل الدول العربية مستهدفة في هذه الحملة؟

لم تُذكر دول عربية في قائمة كاسبرسكي حتى الآن، لكن الطابع العالمي للحملة وترجمة أسماء الملفات لعدة لغات يجعل التوسع وارداً.