ملخص تنفيذي

أصبحت محولات PDF عبر الإنترنت أدوات أساسية في عمليات سير العمل الرقمية اليومية. في 17 مارس 2025، أصدر مكتب دنفر الميداني التابع لمكتب التحقيقات الفيدرالي تنبيهًا بشأن محولات الملفات الضارة عبر الإنترنت المستخدمة لتوزيع البرامج الضارة. هذا ما دفع كلاود سيكيقوم فريق أبحاث الأمن بإجراء تحقيق متعمق في هذه التهديدات لفهم آلياتها وتطوير تدابير الحماية.

‍

يفحص هذا التقرير هجومًا معقدًا يتضمن محولًا ضارًا من PDF-to-Docx ينتحل شخصية الخدمة الشرعية pdfcandy.com. قام ممثلو التهديد بنسخ واجهة المستخدم الخاصة بالمنصة الأصلية بدقة وتسجيل أسماء نطاقات متشابهة لخداع المستخدمين. يتضمن ناقل الهجوم خداع الضحايا لتنفيذ أمر PowerShell الذي يقوم بتثبيت برنامج Arechclient2 الضار، وهو نوع من عائلة سارق المعلومات SectoPrat الخطيرة المعروفة بجمع البيانات الحساسة من الأنظمة المخترقة.

‍

يوضح تحليلنا الجوانب الفنية لهذا الهجوم، ومؤشرات التسوية، ويقدم توصيات قابلة للتنفيذ لمساعدة المنظمات والأفراد على حماية أنفسهم من أساليب الهندسة الاجتماعية المعقدة هذه.

‍

‍

‍

التحليل

‍

‍

‍

يعرض الشكلان 2 و 3 الصفحات المقصودة والصفحة الرئيسية لموقعين محددين لتحويل الملفات الضارة، وكلاهما ينتحل شخصية خدمة pdfcandy.com الشرعية بخبرة. تقوم هذه المواقع الاحتيالية بتكرار الهوية المرئية لـ pdfcandy.com بدقة، بما في ذلك عناصر الشعار والعلامة التجارية، مما يخلق واجهة مقنعة. عند الوصول، يُطلب من المستخدمين على الفور تحميل ملف PDF للتحويل إلى تنسيق Word (.docx)، مع استغلال الحاجة الشائعة لتحويل الملفات لبدء ناقل الهجوم.

طريقة العمل

عند بدء عملية تحويل PDF، يستخدم موقع الويب الضار سلسلة من أساليب الهندسة الاجتماعية المعقدة للتلاعب بسلوك المستخدم:

1. المعالجة المحاكاة: يعرض الموقع تسلسل تحميل متحرك، مما يخلق الوهم بمعالجة الملفات الأصلية. تم تصميم هذه الخطوة لبناء الثقة وتقليل حماية المستخدم.
2. موجه الكابتشا الفوري: بعد الرسوم المتحركة للمعالجة المزيفة، يعرض الموقع فجأة مربع حوار التحقق من captcha، كما هو موضح في الشكل 4. يخدم هذا الانقطاع غير المتوقع أغراضًا متعددة:
   
   • إنه يحاكي ممارسات الأمان المشروعة، مما يعزز الأصالة المتصورة للموقع.
   • إنه يخلق إحساسًا بالإلحاح، مما قد يدفع المستخدم إلى العمل دون دراسة متأنية.
   • تعمل CAPTCHA كنقطة تفاعل محورية حيث يمكن تشغيل الحمولة الخبيثة.
3. التلاعب النفسي: من خلال تقديم عناصر مألوفة في تسلسل غير متوقع، يستغل المهاجمون السلوكيات والتوقعات المكتسبة للمستخدم عند التفاعل مع خدمات الويب.

يوضح تدفق المستخدمين هذا المصمم بعناية فهم المهاجمين لعلم النفس البشري واتفاقيات تصميم الويب، مما يسلط الضوء على الطبيعة المعقدة لهجوم الهندسة الاجتماعية هذا.

‍

‍

بعد تفاعل CAPTCHA المخادع، يطالب موقع الويب المستخدمين بتنفيذ أمر PowerShell (الموضح أدناه) مع تعليمات مفصلة كما هو موضح في الشكل 5 - وهي نقطة حرجة تنتقل فيها الهندسة الاجتماعية إلى اختراق النظام.

‍

التحليل الفني

عند فك تشفير الأمر، اكتشفنا سلسلة إعادة توجيه معقدة مصممة لإخفاء عملية تسليم البرامج الضارة. يستهدف الاتصال الأولي عنوان «bind-new-connect [.] click/santa/bee» متنكرًا في صورة عنوان URL المختصر «https [://] bitly [.] cx [/] sMMA» المختصر. تتم إعادة التوجيه هذه، الموضحة في الشكل 6، لاحقًا إلى «https [://] bitly [.] cx [/] Www0" والتي تنتقل بعد ذلك إلى «bind-new-connect [.] click/marmaris/later» - نقطة النهاية الفعلية التي تخدم حمولة "adobe.zip" الخبيثة. حسب ثريت فوكس، يعد النطاق «bind-new-connect [.] click» موزعًا معروفًا للبرامج الضارة ArechClient التي تنتمي إلى عائلة SectoBrat من سارقي المعلومات. إن برنامج Remote Access Trojan المتطور المستند إلى .net نشط منذ عام 2019 ويمتلك قدرات واسعة لسرقة البيانات الحساسة، بما في ذلك بيانات اعتماد المتصفح ومعلومات محفظة العملات المشفرة.

‍

تمت استضافة ملف "adobe.zip" الضار على عنوان IP 172 [.] 86 [.] 115 [.] 43، والذي تم وضع علامة عليه على أنه ضار من قبل العديد من موردي الأمان وفقًا لـ تحليل فيروس توتال. يستخدم SectoPrat عادةً طرق توزيع مختلفة، بما في ذلك الإعلانات الخاطئة من خلال إعلانات Google وتحديثات التطبيقات المزيفة، لزيادة معدلات الإصابة إلى أقصى حد.

يمكن رؤية محتويات "adobe.zip" في الشكل 7 أعلاه. يتم توسيع هذا الأرشيف إلى مجلد باسم «SoundBand» ويحتوي على ملف تنفيذي ضار «audiobit [.] exe». يمكن العثور على تحليل البرامج الضارة الكامل لهذا الأرشيف بأكمله في تقرير وضع الحماية ANY.RUN هذا.

‍

يؤدي تنفيذ «audiobit [.] exe» إلى تشغيل سلسلة هجوم معقدة متعددة المراحل حيث يتم إنتاج «cmd [.] exe»، مما يؤدي لاحقًا إلى تشغيل «MSBuild [.] exe» - أداة مساعدة شرعية لـ Windows تم تسليحها الآن لتحميل وتنفيذ سارق معلومات ArechClient2، كما هو موضح في الشكل 9 أدناه.

‍

‍

مؤشرات التسوية (IOC)

‍

توصيات للحماية

للحماية من محولات الملفات الضارة مثل تلك التي تم تحليلها في هذا التقرير، يجب على المنظمات والأفراد:

1. استخدم فقط أدوات تحويل الملفات الموثوقة وذات السمعة الطيبة من مواقع الويب الرسمية بدلاً من البحث عن «محولات ملفات مجانية عبر الإنترنت».
2. تنفيذ ضوابط تقنية قوية، بما في ذلك:
   
   • حافظ على تحديث برامج مكافحة الفيروسات/مكافحة البرامج الضارة وفحص جميع الملفات التي تم تنزيلها قبل فتحها
   • نشر حلول اكتشاف نقطة النهاية والاستجابة (EDR) لاكتشاف السلوكيات المشبوهة
   • استخدم تصفية حركة المرور على مستوى DNS لحظر المجالات الضارة المعروفة
   • ضع في اعتبارك إضافات المتصفح التي تحظر المواقع الضارة
3. تحقق من أنواع الملفات بما يتجاوز الامتدادات فقط، حيث غالبًا ما تتنكر الملفات الضارة كأنواع مستندات شرعية.
4. قم بتطبيق تقنية تعطيل المحتوى وإعادة بنائه (CDR) لإزالة التهديدات المضمنة المحتملة من المستندات.
5. ضع قيودًا على تحميل الملفات في بيئات الشركات، بما في ذلك الحد من أنواع الملفات المسموح بها والحد الأقصى لأحجام الملفات.
6. تثقيف المستخدمين للتعرف على علامات التحذير للمحولات الضارة، مثل:
   
   • طلبات تشغيل PowerShell أو تعليمات سطر الأوامر
   • عناوين URL المشبوهة التي تحاكي الخدمات الشرعية مع اختلافات طفيفة
   • عمليات تحقق غير متوقعة من captcha أو تنزيلات إضافية
7. تطوير خطط الاستجابة للحوادث واختبارها بانتظام لمعالجة العدوى بسرعة عند حدوثها.
8. فكّر في استخدام أدوات التحويل دون اتصال بالإنترنت التي لا تتطلب تحميل الملفات إلى خوادم بعيدة.
9. في حالة احتمال تعرض النظام للاختراق:
   
   • اعزل الجهاز المتأثر فورًا
   • قم بتغيير جميع كلمات المرور باستخدام جهاز نظيف
   • اتصل بالمؤسسات المالية لحماية الحسابات
   • أبلغ عن الحادث إلى السلطات المختصة

المراجع

• *مصدر الذكاء وموثوقية المعلومات - ويكيبيديا
• ^#بروتوكول إشارات المرور - ويكيبيديا
• https://www.fbi.gov/contact-us/field-offices/denver/news/fbi-denver-warns-of-online-file-converter-scam
• https://threatfox.abuse.ch/ioc/1451546/
• https://any.run/report/1da2b2004f63b11ab0d3f67cd1431742a1656460492bd4b42fd53d413e6e1570/5430cffd-2170-4d36-b589-1200c24ffb9c
• https://www.virustotal.com/gui/ip-address/172.86.115.43/detection
• https://www.virustotal.com/gui/file/1da2b2004f63b11ab0d3f67cd1431742a1656460492bd4b42fd53d413e6e1570/detection