حذر باحثون في الأمن السيبراني من حملة إلكترونية خبيثة تستهدف مستخدمي تطبيقات الذكاء الاصطناعي «تشات جي بي تي» و«كلود»، من خلال نشر نسخ مزيفة تظهر في نتائج البحث على «غوغل»، بهدف اختراق أجهزة الكمبيوتر العاملة بنظام ويندوز واستغلال مواردها في تعدين العملات المشفرة دون علم أصحابها.

تابعونا على التليكرام

وتعتمد الحملة على ملفات تثبيت تبدو أصلية وموثوقة، لكنها تحتوي على برمجيات خبيثة تستغل إحدى آليات تحميل الملفات في نظام ويندوز، ما يسمح للمهاجمين بتشغيل شيفرات ضارة دون إثارة الشبهات بسهولة.

تطبيقات مزيفة تتصدر نتائج بحث غوغل

كشف باحثون في شركة Check Point Research المتخصصة بالأمن السيبراني عن حملة تحمل اسم «Yoba»، يستخدم فيها المهاجمون صفحات ومستودعات مزيفة على منصة GitHub للترويج لتطبيقات تدعي أنها إصدارات مخصصة للكمبيوتر من أدوات الذكاء الاصطناعي الشهيرة.

وتظهر بعض هذه الصفحات في مواقع متقدمة ضمن نتائج البحث على غوغل، ما يزيد احتمالات وصول المستخدمين إليها عند البحث عن برامج «تشات جي بي تي» و«كلود».

وتستغل الحملة ثقة المستخدمين في نتائج البحث والمظهر الاحترافي لصفحات التنزيل، إذ تقدم الملفات على أنها برامج شرعية يمكن تثبيتها على أجهزة ويندوز.

ملفات أصلية تخفي برمجيات خبيثة

تكمن خطورة الهجوم في استخدام ملفات تشغيل أصلية موقعة رقميًا من شركتي OpenAI وAnthropic، وإرفاقها بمكونات ضارة داخل ملفات مضغوطة بصيغة ZIP.

ويحتوي الملف الذي ينزله المستخدم على برنامج تثبيت شرعي يحمل اسم Setup.exe، إلى جانب ملف خبيث يسمى winmm.dll.

وعند تشغيل أداة التثبيت، قد يقوم نظام ويندوز بتحميل المكتبة الخبيثة الموجودة في المجلد نفسه، عبر تقنية تعرف باسم «التحميل الجانبي لمكتبات DLL» أو DLL Sideloading.

وتسمح هذه الطريقة للمهاجمين باستغلال برنامج موثوق وموقع رقميًا لتشغيل شيفرات ضارة دون الحاجة إلى تعديل الملف الأصلي.

ولا تشير نتائج التحقيق الأمني إلى اختراق خدمات «تشات جي بي تي» أو «كلود» نفسها، بل إلى استغلال ملفات تشغيل شرعية داخل حزم تنزيل خبيثة.

حيلة للحصول على صلاحيات المسؤول

كشف التحليل الأمني أن البرمجية الخبيثة تحاول دفع المستخدم إلى تشغيلها بصلاحيات المسؤول، ما يمنحها قدرة أكبر على إجراء تغييرات داخل نظام ويندوز.

وبعد الحصول على الصلاحيات المطلوبة، تعمل على تثبيت مكوناتها داخل مجلدات النظام، وإنشاء مهمة مجدولة تتيح إعادة تشغيلها تلقائيًا بعد إعادة تشغيل الكمبيوتر.

وتستخدم البرمجية أسماء وملفات مرتبطة بمكونات ويندوز الشرعية لإخفاء نشاطها، بما يصعّب اكتشاف وجودها بالاعتماد على المظهر الخارجي للملفات وحده.

تيليغرام وخدمات غوغل لإخفاء التعليمات الخبيثة

لا تعتمد الحملة على خادم تقليدي واحد لإرسال الأوامر إلى الأجهزة المصابة، بل تستخدم خدمات إنترنت معروفة لإخفاء الاتصالات المرتبطة بها.

وبحسب التحليل الأمني، تستخرج البرمجية معلومات تستخدمها للوصول إلى التعليمات من صورة الملف الشخصي لقناة على «تيليغرام»، ثم تستعلم عن سجلات نظام أسماء النطاقات DNS عبر خدمة تابعة لغوغل.

كما تستخدم خدمات أخرى لتنزيل المكونات الإضافية اللازمة لتنفيذ الهجوم.

ويساعد هذا الأسلوب في جعل الاتصالات الضارة تبدو أقرب إلى حركة البيانات المعتادة، ما يزيد صعوبة رصدها باستخدام بعض وسائل الحماية التقليدية.

تعدين العملات المشفرة دون علم المستخدم

تتمثل الحمولة الخبيثة التي رصدها الباحثون في برنامج لتعدين العملات المشفرة يُعرف باسم XMRig، يعمل على استغلال القدرة الحاسوبية للجهاز المصاب لتنفيذ عمليات التعدين.

ويؤدي هذا النشاط إلى استهلاك موارد المعالج ومكونات الكمبيوتر الأخرى، وقد يتسبب في ارتفاع استهلاك الطاقة والحرارة والتأثير في أداء الجهاز.

واللافت أن البرمجية صُممت لتقليل فرص اكتشافها، إذ تستطيع إيقاف عمليات التعدين مؤقتًا عند رصد نشاط المستخدم على لوحة المفاتيح أو الفأرة، ثم استئناف عملها عندما يصبح الجهاز في وضع الخمول.

وتسمح هذه الحيلة باستغلال موارد الكمبيوتر في الخلفية دون أن يلاحظ المستخدم بسهولة سبب التغيرات في أدائه.

البرمجية تتجنب أجهزة في دول معينة

كشف تحليل الشيفرة البرمجية عن وجود آلية تتحقق من إعدادات لغة لوحة المفاتيح قبل تنفيذ بعض مراحل الإصابة.

وتتجنب البرمجية العمل على أجهزة تستخدم تخطيطات لوحات مفاتيح روسية أو مرتبطة بعدد من دول رابطة الدول المستقلة.

وأشار الباحثون إلى وجود مؤشرات قد تربط مطوري الحملة ببيئات ناطقة بالروسية، إلا أن هذه المؤشرات لا تكفي وحدها لتحديد هوية المهاجمين بصورة قاطعة.

تهديد يتجاوز تعدين العملات الرقمية

لا يقتصر خطر الحملة على استنزاف موارد الكمبيوتر، إذ يمكن لأداة التحميل الخبيثة استقبال تعليمات إضافية وتنفيذ ملفات أو أوامر جديدة.

ويعني ذلك إمكانية استغلال الآلية نفسها مستقبلًا لنشر أنواع أخرى من البرمجيات الضارة، بما فيها برامج سرقة المعلومات والبيانات الحساسة.

كما أشار الباحثون إلى رصد استخدام سابق لأداة خبيثة مرتبطة بالحملة خلال حزيران/يونيو 2026، عندما استُخدمت تطبيقات مزيفة مرتبطة بأداة البرمجة بالذكاء الاصطناعي Cursor لاستهداف المستخدمين.

كيف تحمي جهازك من التطبيقات المزيفة؟

ينصح خبراء الأمن السيبراني بعدم تنزيل تطبيقات الذكاء الاصطناعي من صفحات غير موثوقة، حتى لو ظهرت في مقدمة نتائج البحث على غوغل أو كانت مستضافة على منصة GitHub.

ويُفضل الاعتماد على المواقع الرسمية للشركات المطورة أو متاجر التطبيقات الموثوقة، مع التأكد من عنوان الموقع قبل تنزيل أي ملف.

كما ينبغي تجنب تشغيل ملفات تثبيت مجهولة المصدر بصلاحيات المسؤول، وعدم اعتبار التوقيع الرقمي وحده دليلًا كافيًا على سلامة حزمة التنزيل كاملة.

وفي حال تشغيل ملف مشبوه، يُنصح بفصل الجهاز عن الإنترنت مؤقتًا، وإجراء فحص أمني شامل باستخدام برنامج حماية موثوق ومحدث، والاستعانة بمختص إذا ظهرت مؤشرات على استمرار الإصابة.

وتؤكد هذه الحملة أن التهديدات الإلكترونية لم تعد تعتمد بالضرورة على ملفات تبدو غريبة أو مجهولة، بل بات المهاجمون قادرين على استغلال البرامج الشرعية والخدمات المعروفة لإخفاء نشاطهم والوصول إلى أجهزة المستخدمين.