مايكروسوفت: مثبتات مزيفة لبرامج وألعاب مقرصنة تحوّل حواسيب ويندوز إلى مصدر دخل لأطراف ثالثة

قد يفعل مثبت برنامج «مقرصن» أو لعبة أكثر بكثير مما يعد به، إذ يحوّل بصمت حاسوب المستخدم إلى مصدر دخل لأطراف ثالثة. هذا ما تصفه Microsoft Threat Intelligence في تحليل نشرته يوم الثلاثاء 3 نوفمبر 2026 على مدونتها الأمنية، عن حملة متطورة من التنزيلات المزيفة. وهي مثبتات Inno Setup مدسوسة بالبرمجيات الخبيثة (وهي أداة شائعة لبناء مثبتات ويندوز)، تحمل برامج إضافية تسمى «العروض»، وتُثبَّت ضمن عملية التثبيت نفسها.

والطُّعم مألوف: نسخ «مكسورة الحماية» من برامج تجارية، وألعاب مجانية، وأدوات تفعيل غير قانونية (activators)، وإضافات، وأدوات مساعدة غير رسمية. وسجلت Microsoft أمثلة منها: إضافات صوتية مقرصنة، وألعاب حاسوب، ومنفذات نصوص Roblox، وأدوات النقر التلقائي، وأدوات للتعريفات (drivers). ومن الأسماء التي تذكرها: Echo Client، وFabFilter Total Bundle، وكراك لـ Navicat Premium، وCommand & Conquer: Red Alert 2. وصفحات التنزيل مصقولة، فيها لقطات شاشة وأزرار «Download» متكررة.

كيف يعمل المثبت

عندما يشغّل المستخدم الملف، يُطلق المثبت برنامجا وسيطا مؤقتا (runner) في مجلد %TEMP%\is-*.tmp، ويشغّل مراحل مرقمة بأسماء مثل eld0.exe وeld1.exe وeld4.exe، مع معاملات سطر أوامر مثل /SL5 و/SPAWNWND و/FIRSTWND. ثم يتصل بخوادم تتغير باستمرار، بهيكل طلب ثابت: d=inno وr=offer_execution، مع معرّفات للعرض، والشريك المُوزِّع، وشبكة التنزيل، وموقع العرض في قائمة التنفيذ. وإذا فشل عرض، يصبح الطلب r=offer_execution_fail. وتنجح العروض أو تفشل كل منها على حدة، لذلك لا يعني فشل الأول أن الحزمة كلها توقفت.

وأكدت Microsoft ثلاث طرق لتحقيق الدخل من الأجهزة المصابة. وتشير إلى أن هذه البرامج قد تكون لها استخدامات مشروعة، لكن تثبيتها بصمت دون موافقة مستنيرة من المستخدم يخلق مخاطر أمنية وخصوصية. الأولى هي WorldProxyPool، وهو برنامج يمرر حركة مرور أطراف ثالثة عبر الحاسوب (proxyware). وتنشئ المرحلة eld4.exe ثلاث مهام مجدولة بامتيازات SYSTEM: واحدة تشغّل الوكيل sdk-agent.exe عند بدء النظام، وواحدة فيها نص PowerShell مخفي للمراقبة يعمل كل خمس دقائق، وواحدة تحدّث البرنامج كل ساعة. ويُدرج الفرع الثاني الجهاز في منصة حوسبة موزعة عبر CharityEngine وBOINC، إلى جانب VirtualBox 7.2.8. أما الثالث فيثبت تطبيقات مساعدة لها خصائص البرامج الإعلانية، وهي Advanced Windows Manager وWindows Manager.

الكشف والتوصيات

ويسجل التحليل أيضا الكشوفات المرتبطة. فـMicrosoft Defender يكشف الحمولة بوصفها Trojan:Win64/OfferLoader.DA!MTB وOfferLoader.DB!MTB، والسلوك بوصفه Behavior:Win32/SuspInnoOffer.A!mapsi، وفي مرحلة اختطاف الموارد بوصفه Adware:Win32/Clover. وتتوافق الأساليب مع سبعة إدخالات في إطار MITRE ATT&CK، من بينها تنفيذ المستخدم لملف خبيث (T1204.002)، والثبات عبر المهام المجدولة (T1053.005)، ونقل الأدوات الواردة (T1105)، واختطاف الموارد (T1496).

ولمن يبحثون عن آثار، تنشر Microsoft مؤشرات الاختراق (IOCs). وأسماء النطاقات للخوادم التي تستقبل تقارير العروض هي beliefdesk[.]xyz وcompanyharbor[.]xyz وsignalpane[.]cfd وinkact[.]xyz وwishgrove[.]cfd، بينما يتضمن استعلام البحث المتقدم 15 مؤشرا في المجموع. وتؤكد الشركة أن أسماء النطاقات تتغير بسرعة، وأن الإشارة الأكثر ثباتا هي المزيج من النمط d=inno والمجلدات المؤقتة وأسماء المراحل.

وتشمل التوصيات تجنب المصادر البرمجية غير الموثوقة، ومولدات المفاتيح، وأدوات التفعيل، وتفعيل الحماية السحابية وحماية العبث (tamper protection) في Defender، والحماية المستندة إلى السمعة، وقواعد تقليل سطح الهجوم. ويُحث المسؤولون على فحص المهام المجدولة بامتيازات SYSTEM، والبحث عن برامج لم يثبّتها المستخدمون، مثل WorldProxyPool وCharityEngine وBOINC وVirtualBox. وفي الأسبوع نفسه، نشر الفريق تقرير التهديدات الفصلي عن التصيد الاحتيالي.