PhantomEnigma: اختراق أكثر من 20 موقعاً حكومياً برازيلياً لتوزيع برمجية خبيثة

مقدمة

كشف باحثو منصة ANY.RUN لتحليل البرمجيات الخبيثة عن حملة تهديد نشطة تحمل اسم PhantomEnigma، اخترق خلالها المهاجمون أكثر من 20 موقعاً إلكترونياً تابعاً لجهات حكومية برازيلية ضمن نطاق .gov.br، وحوّلوها إلى قناة توزيع فعلية للبرمجيات الخبيثة. اختراق موقع إلكتروني (Website Hijacking) يعني في العادة أن المهاجم استولى على السيطرة الجزئية أو الكاملة على الموقع — سواء عبر ثغرة في إدارة المحتوى، أو بيانات دخول مسروقة، أو تهيئة خاطئة في الخادم — واستخدمه لاستضافة محتوى أو ملفات لا تخص الجهة المالكة له.

خطورة هذا النمط من الهجمات لا تكمن في الاختراق نفسه بقدر ما تكمن في استغلال الثقة المرتبطة بالنطاق. حين يصل رابط أو مرفق من نطاق حكومي رسمي، تميل بوابات الأمان في الشركات، وفلاتر البريد، وحتى المستخدمين أنفسهم، إلى التعامل معه كمصدر موثوق (Trusted Domain) لا يستدعي الشك. هذا بالضبط ما استغلته PhantomEnigma لتمرير روابط وملفات ضارة متجاوزة طبقات الفحص التي كانت لتوقف رسالة من نطاق مجهول أو مشبوه.

خلفية عن حملة PhantomEnigma

بحسب تحليل ANY.RUN، لم تكن PhantomEnigma حملة وليدة اللحظة، بل امتداد لنشاط رُصد سابقاً. ففي عام 2025، تركّز نشاط المجموعة على استهداف القطاع المصرفي البرازيلي مباشرة، وشمل ذلك بنك Banco do Brasil، عبر إضافة متصفح خبيثة (Browser Extension) تعمل كبرمجية سرقة مصرفية (Banker) تعترض جلسات المستخدمين وتسرق بياناتهم.

مع دخول عام 2026، تحوّل أسلوب المجموعة بشكل ملحوظ: بدل الاعتماد على بنية تحتية خاصة بها قد تُكتشف وتُحظر بسرعة، بدأت باستغلال مواقع وحسابات بريد إلكتروني تابعة لجهات حكومية برازيلية فعلية بعد اختراقها. يصف الباحثون هذا التحول بأنه انتقال من “الجيل الأول” (نشاط الإضافة المصرفية الموثّق في أبحاث 2025) إلى “الجيل الثاني” الذي يضم ذراع توزيع عبر ملفات PDF إلى جانب باب خلفي معياري (Modular Backdoor) مبني على Node.js. بلغ نشاط ذراع ملفات PDF ذروته في فبراير 2026، بينما بقي الباب الخلفي نشطاً من يناير حتى يوليو من العام نفسه، مع ذروتين إضافيتين في مارس ومايو.

استطاع فريق ANY.RUN كشف حجم الحملة الحقيقي بعد ربط مئات جلسات التحليل (Sandbox Sessions) التي بدت للوهلة الأولى غير مرتبطة ببعضها، ليتضح أن روابط .gov.br الموثوقة والرسائل المصادق عليها بريدياً هي ما أبقى هذا النشاط تحت الرادار لفترة طويلة.

آلية الهجوم

تبدأ سلسلة الهجوم برسائل تصيّد احتيالي (Phishing) تحاكي مستندات رسمية صادرة عن جهات إنفاذ القانون البرازيلية، أبرزها وثائق تحمل عناوين مثل “Ofício Polícia Civil” (إخطار رسمي من الشرطة المدنية) و"Procuração Digital" (توكيل رقمي). بعض هذه الرسائل تحتوي على رموز QR أو روابط تقود إلى صفحات حكومية مزيّفة تحاكي المواقع الأصلية.

النقطة الأخطر في آلية التسليم أن بعض هذه الرسائل لم تكن مجرد انتحال لعنوان مرسل (Spoofing)، بل صدرت فعلياً من صندوق بريد إلكتروني تابع لإدارة شرطة برازيلية تم اختراقه فعلياً. الدليل على ذلك أن هذه الرسائل اجتازت آليات التحقق البريدية القياسية الثلاث: SPF وDKIM وDMARC — وهي بروتوكولات مصممة أصلاً لمنع انتحال هوية المرسل، لكنها بطبيعتها لا تستطيع كشف أن صاحب الصندوق البريدي الشرعي هو من أُخذت منه السيطرة.

أما سلسلة العدوى التقنية بعد فتح الملف المرفق أو الرابط، فتسير كالتالي: يُنزَّل مثبِّت مبني بأداة Inno Setup ومُصرَّف بلغة Delphi، وهذا المثبت ينشر نسخة معدَّلة (Patched) من تطبيق Electron مبنية أصلاً على تطبيق مفتوح المصدر يُدعى Boostnote، تحتوي على ملف index.js مُعتّم (Obfuscated) يعمل كباب خلفي فعلي. عند التفعيل، يجمع هذا الباب الخلفي بيانات تعريف الجهاز — مثل معرّف الجهاز، واسم الحاسوب، واسم المستخدم — ويرسلها في طلب HTTP POST إلى مسار خادم القيادة والتحكم (C2) يحمل الاسم /nbw/، مع وسم يحدد الحملة المرتبطة بالإصابة. بعد هذه المرحلة، يمكن للباب الخلفي تنفيذ أكواد JavaScript إضافية أو تنزيل حمولات لاحقة تشمل برمجيات سرقة بيانات (Stealers)، وأدوات تحميل (Loaders)، وبرمجيات إدارة عن بُعد شرعية يُساء استخدامها (RMM Software)، وحمولات أخرى حسب الهدف.

يشير الباحثون إلى أن هذه البنية التحتية تتغير بوتيرة أسرع من الشيفرة نفسها؛ فنطاقات القيادة والتحكم تتبدّل أسبوعياً تقريباً، والمواقع الحكومية المخترقة المستخدمة كقنوات توزيع تتغير مع الوقت، ما يجعل ملاحقة الحملة بالاعتماد على مؤشرات ثابتة أمراً صعباً. ولتفادي المبالغة في نسب النشاط، ميّز فريق ANY.RUN بين نواة عالية الثقة تضم ما بين 108 و125 تحليلاً تحمل مؤشرات قوية ومباشرة على الحملة — مثل بنية تحتية معروفة لخوادم C2، ومضيفات .gov.br مخترقة مؤكدة، وعناوين IP للاتصال الدوري (Beacon)، ونمط اتصال يمر عبر مسارات /laravel.php أو /nbw/ — مقابل مجموعة أوسع تُستخدم للرصد الاستباقي (Threat Hunting) دون الجزم بربطها المباشر بـ PhantomEnigma.

التأثير والأهداف

البرازيل هي المحور الأساسي لهذه الحملة بشكل واضح: تمثل نحو 60.3% من مجموعة مواقع .gov.br المستخدمة في التوزيع، و46% من مجموعة عناوين خوادم القيادة والتحكم المرتبطة بالمشغّلين. الفئات الأكثر عرضة للخطر هي مستخدمو الخدمات المصرفية البرازيلية، والجهات الحكومية التي أُسيء استخدام نطاقاتها وصناديق بريدها، وأي طرف ثالث يتلقى مراسلات أو روابط تبدو صادرة عن جهة رسمية.

جوهر الخطر هنا هو استغلال الثقة (Trust Exploitation): حين يعتمد نظام أمني أو مستخدم على مصدر الرابط أو الرسالة كمعيار وحيد للحكم على مصداقيتها، فإن اختراق ذلك المصدر بالذات يفرغ آلية الدفاع من محتواها بالكامل. النتيجة المحتملة لإصابة ناجحة تشمل سرقة بيانات الاعتماد، ووصولاً غير مصرح به لأنظمة الضحية، وعمليات احتيال مالي، وتسرّب بيانات، وتعطلاً تشغيلياً في حال استُخدمت أدوات RMM للتحكم الكامل بالجهاز المصاب.

التوصيات الدفاعية

• عدم الثقة الأعمى بالنطاق مهما كان مصدره — حتى الروابط والمرفقات الواردة من نطاقات .gov أو مؤسسات معروفة يجب أن تمر عبر فحص فعلي (Sandbox / URL Reputation) قبل فتحها، لأن اجتياز SPF/DKIM/DMARC لا يعني بالضرورة أن الصندوق البريدي المرسل لم يُخترق.
• الحذر من ملفات التوكيل والإخطارات الرسمية غير المتوقعة — خصوصاً تلك التي تطلب فتح مرفق تنفيذي أو مثبّت (installer) أو مسح رمز QR، فالجهات الرسمية نادراً ما توزّع مستنداتها بهذه الطريقة.
• تقييد تنفيذ المثبتات غير الموقّعة أو غير المعروفة على أجهزة المؤسسة، ومراقبة أي عمليات تثبيت تعتمد على Inno Setup من مصادر خارج قنوات التوزيع الرسمية للمؤسسة.
• مراقبة حركة الشبكة الصادرة نحو أنماط اتصال غير معتادة، مثل طلبات POST متكررة إلى مسارات مثل /nbw/ أو /laravel.php، والتي تُعد من مؤشرات الاختراق (IOC) المرتبطة بهذه الحملة تحديداً.
• تدقيق دوري لأدوات RMM المثبتة فعلياً على الأجهزة والتأكد من أنها منشورة رسمياً من فريق تقنية المعلومات، فهذه الأدوات الشرعية تُستغل عادة في هذه الحملة كوسيلة تحكم كاملة بعد الإصابة.
• توعية موظفي القطاعين المصرفي والحكومي تحديداً بأن كون الرسالة “من نطاق حكومي” ليس دليلاً كافياً على سلامتها، بل مؤشراً على أن المهاجمين استثمروا في الوصول إلى تلك البنية تحديداً لتجاوز الشك.

المصدر

المقال الأصلي: 20+ Hijacked Government Websites Became an Attack Channel