غالباً ما يعتمد مستخدمو أجهزة Mac على بيئة شركة Apple المغلقة للشعور بالأمان، لكن هناك تهديداً جديداً ينسف هذا الوهم تماماً. إذ تمكنت برمجية سرقة البيانات (Infostealer) المتطورة والتي تُعرف باسم CrashStealer من تجاوز دفاعات أداة Gatekeeper المدمجة في نظام macOS لسرقة كلمات المرور، ومحافظ العملات الرقمية، والمستندات الحساسة. إذا قمت مؤخراً بتنزيل أداة لمؤتمرات الفيديو من خارج متجر التطبيقات الرسمي، فقد يكون نظامك مخترقاً بالفعل.
رصد باحثو الأمن السيبراني أولى علامات تطوير هذه البرمجية الخبيثة في مايو 2026، وهي تعمل الآن في هجمات نشطة جنباً إلى جنب مع تهديد آخر يُعرف باسم ClickLock. يعتمد المهاجمون على أسلوب توزيع موجّه بدقة، حيث يوجهون الضحايا إلى موقع ويب مزيف يدّعي أنه منصة شرعية لأداة مؤتمرات فيديو تُسمى Werkbit. وللحد من الانتشار وتجنب أدوات الفحص الآلي، يطلب الموقع من الزوار إدخال رمز PIN خاص بالاجتماع قبل السماح لهم بتنزيل البرنامج.
بمجرد أن يُدخل المستخدم "المحظوظ" الرمز السري، يتم تنزيل الحمولة الخبيثة الأولية التي تحمل اسم Werkbit Setup. والمثير للقلق أن أداة التثبيت هذه تحمل شهادة مطور صالحة من شركة Apple وقد اجتازت عملية التوثيق (Notarization) الآلية بنجاح. هذا الفشل الذريع في نظام الفحص المسبق يسمح للحمولة بالعمل دون إثارة تحذيرات البرامج غير الموثوقة المعتادة من نظام التشغيل.
كيف تخترق برمجية CrashStealer نظامك
بعد التشغيل، تتصل أداة Werkbit Setup بمستودع على منصة GitHub لاسترداد التعليمات، وهو تكتيك يساعد طلبات الشبكة على التخفي وسط حركة مرور المطورين الطبيعية. بعد ذلك، تتصل الأداة بخادم المهاجمين مباشرة لجلب برمجية CrashStealer، وتحفظها في مجلد مؤقت، ثم تمسح ملفات الإعداد. وفي النهاية، لا يحصل المستخدم على أي تطبيق لمؤتمرات الفيديو.
على عكس أداة التحميل، لا تمتلك برمجية CrashStealer شهادة مطور من شركة Apple. ولتجنب إثارة الشكوك، تتخفى البرمجية في شكل أداة الإبلاغ عن الأعطال المدمجة في نظام macOS، حيث تستخدم نفس الاسم والمعرّف وأيقونة مشابهة لأداة CrashReporter. ثم تنفذ البرمجية تسلسلاً دقيقاً لاختراق النظام:
- إزالة البيانات الوصفية من الملف الذي تم تنزيله.
يضمن هذا الإجراء عدم تصنيف نظام التشغيل للتطبيق على أنه ملف تم تنزيله من الإنترنت. - عرض نافذة طلب وهمية ومقنعة للغاية.
يخدع هذا الإجراء المستخدم لدفعه إلى إدخال كلمة مرور نظام macOS، وستعاود النافذة الظهور مراراً إذا تم إدخال كلمة مرور خاطئة. - الوصول إلى أداة سلسلة المفاتيح (Keychain) المدمجة.
يمكّن هذا البرمجية الخبيثة من استخراج بيانات الاعتماد، ومفاتيح التشفير، والشهادات المحفوظة باستخدام كلمة المرور المسروقة. - فحص الكمبيوتر بحثاً عن أدوات الأمان المثبتة.
يسمح هذا للبرمجية بتحديد برامج تحليل البرمجيات الخبيثة النشطة ومحاولة التهرب منها. - جمع البيانات المحفوظة من المتصفحات وتطبيقات الطرف الثالث.
يضمن هذا للمهاجمين الاستيلاء على ملفات تعريف الارتباط (Cookies)، وكلمات المرور، وبيانات محافظ العملات الرقمية من جميع أنحاء النظام. - تشفير البيانات المسروقة باستخدام خوارزمية AES-256-GCM.
يؤمّن هذا الإجراء المعلومات المخترقة داخل ملف ZIP قبل إعادة توجيهها إلى خادم القيادة والسيطرة الخاص بالمهاجمين. - تأسيس وجود دائم عبر إنشاء نسخة من نفسها.
يضمن هذا تشغيل برمجية سرقة البيانات تلقائياً في كل مرة يتم فيها إقلاع نظام macOS. - حذف الملفات المؤقتة وآثار التثبيت.
يجعل هذا الإجراء عمليات الاكتشاف والتحليل الجنائي بعد الإصابة أكثر صعوبة على أدوات الأمان.
النطاق الهائل للبيانات المسروقة
تستهدف برمجية CrashStealer قائمة ضخمة من البيانات، متجاوزةً أداة سلسلة المفاتيح (Keychain) الأساسية. إذ تسرق البرمجية البيانات بنشاط من 14 مدير كلمات مرور (Password Manager) مختلفاً، مستهدفةً تحديداً تطبيقات 1Password، وBitwarden، وLastPass، وDashlane، وKeeper، وKeePassXC، وNordPass، وEnpass، وRoboForm. كما تقوم بمسح مجلدي المستندات والتنزيلات بحثاً عن الملفات الحساسة.
متصفحات الويب معرضة للخطر بالقدر ذاته. حيث تجمع البرمجية جميع بيانات الاعتماد وملفات تعريف الارتباط المخزنة في متصفح Firefox والمتصفحات المبنية على نواة Chromium، بما في ذلك متصفحات Chrome، وBrave، وEdge، وOpera، وOpera GX، وVivaldi، وChromium، وNAVER Whale. علاوة على ذلك، يمتلك المهاجمون دافعاً مالياً واضحاً، حيث تستهدف البرمجية بيانات من 80 إضافة مختلفة لمحافظ العملات الرقمية، بما في ذلك محافظ MetaMask، وPhantom، وCoinbase Wallet، وTrust Wallet، وRabby، وExodus، وKeplr، وSolflare.
كيفية حماية جهاز Mac من برمجيات سرقة البيانات
يُعد الارتفاع الملحوظ في الهجمات على نظام macOS بمثابة جرس إنذار واضح بضرورة تبني مستخدمي أجهزة Apple لإجراءات أمنية استباقية. اتبع هذه الخطوات لتأمين جهازك ضد برمجية CrashStealer والتهديدات المشابهة:
- ابحث عن التطبيقات بدقة عبر الإنترنت قبل تثبيتها.
يضمن لك هذا تجنب تنزيل البرمجيات الخبيثة المتخفية من المواقع الترويجية المزيفة. - قم بتنزيل الأدوات حصرياً من متجر تطبيقات Mac الرسمي كلما أمكن ذلك.
يقلل هذا من خطر مواجهة أدوات تثبيت مخترقة قادرة على تجاوز دفاعات النظام. - ثبّت حلاً أمنياً موثوقاً على نظامك.
يمكّن هذا الحظر الفوري للمواقع الخبيثة ويوقف نشاط البرمجيات غير المصرح بها. تكتشف حلول الأمان من شركة Kaspersky هذا التهديد حالياً تحت تصنيفي HEUR:Trojan-Downloader.OSX.Agent.gen وHEUR:Trojan-PSW.OSX.Agent.gen. - احفظ جميع بيانات الاعتماد والتفاصيل المصرفية في مدير كلمات مرور معزول وآمن.
يحمي هذا بياناتك حتى في حال اختراق أداة سلسلة المفاتيح (Keychain) الخاصة بالنظام. والجدير بالذكر أن تطبيق Kaspersky Password Manager لم يكن مدرجاً ضمن التطبيقات التي تستهدفها برمجية CrashStealer.
وهم الأمان في التوثيق الآلي
إن الجانب الأكثر إثارة للقلق في حملة CrashStealer ليس قدرات البرمجية على حصاد البيانات، بل السهولة التي تجاوزت بها أداة التحميل نقاط التفتيش الأمنية الأساسية لشركة Apple. فمن خلال اجتياز عملية التوثيق (Notarization) بنجاح باستخدام شهادة مطور صالحة، كشف المهاجمون عن نقطة ضعف فادحة في عمليات الفحص الأمني الآلي المسبق. فعندما يتم إخفاء الحمولات الخبيثة خلف تنزيلات ثانوية ومستودعات على منصة GitHub، تصبح أدوات التحليل الثابت على مستوى نظام التشغيل عمياء فعلياً.
يسلط هذا الحادث الضوء على تحول جذري في تكتيكات مجرمي الإنترنت التي تستهدف مستخدمي أجهزة Apple. فالمهاجمون يبتعدون عن هجمات القوة الغاشمة ويتجهون نحو استغلال الثقة، باستخدام رموز PIN موجهة للتهرب من الباحثين الأمنيين، وانتحال صفة أدوات النظام الأصلية مثل تطبيق CrashReporter لتجنب إثارة شكوك المستخدمين. ومع استمرار نظام macOS في اكتساب حصة سوقية أكبر في بيئات الشركات، لم يعد الاعتماد على بيئة Apple المغلقة استراتيجية دفاعية كافية.
