احذروا: برمجيات خبيثة تتخفى في تطبيقات تشات جي بي تي وكلود المزيفة وتستغل نتائج بحث جوجل

يستغل قراصنة الإنترنت نتائج البحث في "غوغل" للترويج لتطبيقات مزيفة لبرنامجي تشات جي بي تي وكلود على أجهزة الكمبيوتر، بهدف إصابة الأجهزة ببرمجيات خبيثة تستخدم مواردها في تعدين العملات المشفرة. وتعتمد هذه الحيلة التقنية على تجاوز بعض إجراءات الحماية في نظام ويندوز، حيث تبدو ملفات التثبيت المزيفة شرعية تماماً للوهلة الأولى، مما يدفع المستخدمين إلى تنزيلها وتشغيلها دون الاشتباه في وجود تهديد أمني.

تكمن خطورة هذه الحملة في اعتمادها على ملفات برمجية أصلية وموقعة رقمياً من الشركات المطورة، مما يستغل ثقة نظام التشغيل بها ويتجنب إطلاق تحذيرات أمنية واضحة. وقد رصد باحثون أمنيون في شركة Check Point Research هذه الحملة بعد اكتشاف صفحات مزيفة على منصة GitHub تظهر في مراتب متقدمة ضمن نتائج بحث "غوغل"، وتروج لتنزيل تطبيقات سطح المكتب الخاصة بتشات جي بي تي وكلود.

عند تنزيل الملفات، يحصل المستخدم على مجلد مضغوط بصيغة ZIP يحتوي على ملف تثبيت حقيقي وموقع رقمياً من شركتي "OpenAI" أو "أنثروبيك"، إلى جانب ملف خبيث يحمل اسم winmm.dll. وعندما يشغّل المستخدم ملف التثبيت الرسمي، يقوم نظام ويندوز بتحميل المكتبة الخبيثة الموجودة في المجلد نفسه، مستغلاً تقنية تعرف باسم "التحميل الجانبي لملفات DLL Sideloading"، والتي تسمح للمهاجمين بتشغيل شيفرات ضارة من خلال تطبيقات شرعية.

وكشفت تحليلات أجرتها شركة Gridinsoft أن البرمجية الخبيثة تخدع المستخدمين للموافقة على منحها صلاحيات المسؤول، قبل أن تبدأ في تثبيت نفسها بصورة خفية داخل مجلدات النظام. ولا تعتمد البرمجية على خوادم خاصة واضحة لإرسال التعليمات وتلقيها، بل تستخدم أساليب أكثر تعقيداً، إذ تستخرج أوامر جديدة من خلال فحص صورة الملف الشخصي لقناة على تطبيق "تيليغرام"، والاستعلام عن سجلات نظام أسماء النطاقات (DNS) التابع لشركة غوغل. ويساعد إخفاء حركة البيانات الضارة داخل خدمات الإنترنت المعتادة على جعل اكتشاف الهجوم أكثر صعوبة أمام برامج مكافحة الفيروسات التقليدية.

أما الحمولة الخبيثة النهائية التي تنشرها الحملة، فهي برمجية لتعدين العملات المشفرة تستنزف موارد المعالج ومكونات الجهاز الأخرى، لكنها تتوقف مؤقتاً عن العمل عندما يحرك المستخدم مؤشر الفأرة، في محاولة لتقليل احتمالات ملاحظة بطء الجهاز أو ارتفاع استهلاك موارده. وأظهر تحليل الشيفرة البرمجية أن أداة التثبيت الخبيثة تتجنب إصابة الأجهزة التي تستخدم تخطيطات لوحات مفاتيح روسية أو تابعة لدول مجاورة، ما يجعل الأنظمة الأوكرانية الهدف الإقليمي الوحيد للحملة وفقاً للتحليل.

وحذر ياش كاداكيا، المدير التقني لشركة Security Brigade، من أن الاعتماد على وجود توقيع رقمي صالح للملف لم يعد كافياً وحده لضمان سلامة الكمبيوتر، خصوصاً مع قدرة المهاجمين على استغلال ملفات أصلية موقعة لتشغيل مكونات خبيثة إلى جوارها.

لم تكن هذه المرة الأولى التي يستخدم فيها المهاجمون أداة التحميل الخبيثة نفسها، إذ استهدفت إصدارات سابقة منها مطوري البرمجيات في يونيو 2026، عبر التظاهر بأنها أداة البرمجة بالذكاء الاصطناعي Cursor. وتكمن الخطورة الأكبر في أن أداة التحميل قادرة على تنفيذ أي أوامر تتلقاها عن بُعد، ما يعني أن المهاجمين يمكنهم استخدامها في حملات مستقبلية لنشر برمجيات سرقة كلمات المرور والبيانات الحساسة، بدلاً من الاقتصار على تعدين العملات المشفرة في الخلفية.

في حال تشغيل أحد ملفات التثبيت المزيفة عن طريق الخطأ، ينصح بفصل الكمبيوتر عن الإنترنت وفحص مجلدات النظام بحثاً عن الملفات المشبوهة، لتقليل احتمالات استمرار البرمجية الخبيثة في الاتصال بمصادرها وتنفيذ أوامر إضافية.

تظل الطريقة الأكثر أماناً لتنزيل تطبيقات الذكاء الاصطناعي المخصصة لأجهزة الكمبيوتر هي الاعتماد على القنوات الرسمية للمطورين، مثل متجر Microsoft Store أو المواقع الإلكترونية الرسمية للشركات، ومن بينها موقع "OpenAI". وتعتمد هذه الحملة على استغلال ثقة المستخدمين في نتائج البحث المتقدمة على "غوغل" وصفحات GitHub، إذ قد يفترض البعض أن ظهور رابط في مقدمة نتائج البحث، أو وجود مستودع برمجي يبدو احترافياً على منصة معروفة، يعني بالضرورة أنه آمن وموثوق. لكن المظهر الرسمي للصفحات والملفات، وحتى وجود توقيع رقمي صالح، لا يمثل ضماناً كافياً لسلامة البرامج، ما يجعل التحقق من مصدر التنزيل خطوة أساسية قبل تثبيت أي تطبيق على الكمبيوتر.