أعلنت شركة الأمن السيبراني كاسبرسكي عن اكتشاف حملة سيبرانية معقدة ومتعددة المراحل باسم «MovieReaper» تستخدم ملفات تورنت لأفلام شعبية، بما في ذلك فيلم «أوديسه» للمخرج كريستوفر نولان، لنشر برنامج خبيث بين المستخدمين والمنظمات في عدة دول حول العالم. وبحسب التقرير المنشور على منصة الأبحاث Securelist التابعة لكاسبرسكي، فقد رُصدت هذه الحملة منذ منتصف أغسطس 2026، على الرغم من أن النشاط الأولي لهذا العامل الخبيث يعود إلى أكتوبر 2025.
مسار العدوى: من مستودع عام إلى مئات الضحايا
النقطة اللافتة في هذه الحملة هي طريقة توزيعه. بدلاً من اختراق كل موقع تورنت على حدة، استهدف المهاجمون مستودعًا عامًا لملفات التورنت يُدعى itorrents.org ويستخدمه العديد من التراكرات (tracker). من خلال اختراق هذه البنية التحتية المشتركة، في كل مرة يطلب فيها مستخدم تنزيل فيلم عبر رابط ماغنت، كان يُعطى بدلًا من ملف التورنت الأصلي نسخة خبيثة ومُستبدلة. سمح هذا الأسلوب للمهاجمين بالتأثير على مستخدمي عدة تراكرات مختلفة في آن واحد دون التلاعب بكل موقع على حدة.
كان الملف النهائي الذي يُحمّل يُقدّم باسم طويل ومرتبط بالفيلم المعني؛ على سبيل المثال، رُصِدت عينات بعناوين تشبه نسخة ويب-ريب من فيلم «أوديسه» بجودة 1080p وامتداد تنفيذي exe. طول اسم الملف كان يخفي الامتداد الحقيقي عن المستخدم بسهولة. وبحسب تقرير كاسبرسكي، خلّفت هذه الحملة حتى الآن مئات الضحايا في دول منها روسيا، تركيا، اليابان، كينيا، أوغندا، كولومبيا، إسبانيا، هولندا، بلجيكا، ألمانيا وفنلندا، كما ضمت منظمات في قطاعات تجارية، حكومية، تكنولوجيا المعلومات، استشارات، تجزئة، نقل وزراعة.
تقنيات التهرب من الاكتشاف والبقاء في النظام
من الناحية الفنية، يعد MovieReaper إطارًا معياريًا ومتعدد المراحل. مرحلته الأولى عبارة عن تحميل (loader) يستخدم تقنيات لتجاوز بيئات اختبار الأمن (sandbox)؛ بدلًا من استدعاء الدوال النظامية المعتادة مباشرة، يجتاز بنية ذاكرة العمليات يدويًا ويعتمد تقنيات متقدمة مثل تنفيذ أوامر نظامية خام واستخدام دوال ويندوز غير الموثقة ليبقى مخفيًا عن برامج مضادات الفيروسات. بعد التفعيل، يستلم هذا الحامل الكود الخبيث للمرحلة التالية من نطاق وعنوان IP محددين سلفًا.
في المراحل اللاحقة، يكتسب البرنامج الخبيث قدرة على تجاوز نظام التحكم بحساب المستخدم (UAC) في ويندوز، وللبقاء في النظام يخزن نسخة من نفسه باسم مشابه لملفات Microsoft Edge (msedge.exe) في مسار بيانات تطبيق النظام؛ ما يجعل اكتشافه أصعب على المستخدمين العاديين. وحذر الخبراء من أن وجود ملف بهذا الاسم في مسارات غير اعتيادية لا ينبغي الخلط بينه وبين ملفات متصفح Edge الأصلية والشرعية.
دور بلوكشين سولانا في إخفاء بنية القيادة والتحكم
ربما أبرز ميزات هذه الحملة هو استخدام بلوكشين سولانا لإدارة بنية القيادة والتحكم (C2). في إحدى مراحله، يستعلم البرنامج الخبيث عن معلومات حساب محدد عبر استدعاء خدمات سولانا القياسية؛ بيانات مخزنة مشفرة ومُرمّزة على البلوكشين، وبعد فك التشفير تزود البرنامج بعنوان خادم القيادة التالي.
تمنح هذه الطريقة المهاجمين ميزة مهمة: بينما يمكن لفرق الأمن حظر نطاق أو عنوان IP معروف، يمكن للمهاجمين ببساطة تحديث البيانات المخزنة في حسابهم على البلوكشين لتزويد البرنامج العالق على الأجهزة المخترَقة بعنوان خادم جديد دون الحاجة لتغيير الشيفرة الخبيثة المثبتة مسبقًا. وتُصعّب هذه الخاصية على الباحثين الأمنيين عملية اكتشاف وإسكات البنية التحتية للهجوم بشكل كامل.
وصول كامل إلى ملفات الضحية في المرحلة النهائية
الحلقة الأخيرة من سلسلة العدوى هي تثبيت وحدة تُسمى «مدير ملفات» (file manager) تتيح للمهاجمين الوصول الكامل عن بُعد إلى ملفات الجهاز المصاب باستخدام عشرات الأوامر المعرفة مسبقًا؛ بما في ذلك قراءة، نسخ، نقل، إعادة تسمية وحذف الملفات. مثل هذا المستوى من التحكم يعني عمليًا وصول المهاجم إلى المعلومات الشخصية والتنظيمية المخزنة على الحاسوب المصاب بلا حدود.
توصيات كاسبرسكي الأمنية
حذرت كاسبرسكي صراحة من أن تنزيل ملفات من مصادر تورنت غير موثوقة، حتى لو بدا محتواها ترفيهيًا مثل فيلم سينمائي، قد يتحول إلى بوابة لاختراق الأجهزة والشبكات المؤسسية. ونصحت الشركة المستخدمين أنه إذا شغّلوا مؤخرًا ملفًا تنفيذيًا كان يُعرّف عن نفسه على أنه فيلم، فعليهم إجراء فحص أمني كامل للنظام بأسرع ما يمكن والتحقق من وجود ملفات مشبوهة في مسارات غير عادية. وذكر تقرير Securelist أن الحملة ما زالت نشطة وأن المستودع المخترَق لم يُنظَّف تمامًا بعد.
نظراً لأن هذا الإطار معياري وقادر على التنفيذ مباشرة في ذاكرة النظام دون ترك أثر كبير على القرص، يعتقد خبراء الأمن أن مكونات هذا البرنامج الخبيث قد تُعاد استخدامها في حملات مستقبلية مع تعديلات طفيفة؛ ما يزيد من أهمية الالتزام بمبادئ الأمن السيبراني الأساسية، مثل تجنب تنزيل الملفات من مصادر غير رسمية وفحص امتدادات الملفات المحمّلة بعناية.