حذرت شركة مايكروسوفت من إصابة الآلاف من أجهزة الحاسب العاملة بنظام ويندوز في جميع أنحاء العالم بسلالة جديدة من البرامج الضارة التي تعمد إلى تنزيل وتثبيت نسخة من إطار العمل المستخدم على نطاق واسع (Node.js) من أجل تحويل الأنظمة المصابة إلى وكلاء وإجراء عمليات احتيال عبر النقرات.

وتم اكتشاف البرامج الضارة، المسماة (Nodersok) في تقرير مايكروسوفت و (Divergent) في تقرير سيسكو تالوس، لأول مرة خلال فصل الصيف، وجرى توزيعها عبر إعلانات ضارة عمدت إلى تنزيل ملفات HTA (تطبيق HTML) بالقوة على أجهزة حواسيب المستخدمين.

وبدأ المستخدمون – الذين عثروا على ملفات HTA هذه وقاموا بتشغيلها – في عملية إصابة متعددة المراحل تتضمن (Excel)؛ و (JavaScript)؛ و (PowerShell)، والتي عمدت في النهاية إلى تنزيل وتثبيت البرامج الضارة (Nodersok).

وتحتوي البرامج الضارة نفسها على مكونات متعددة لكل منها دوره الخاص، وهناك وحدة (PowerShell) تحاول تعطيل (Windows Defender) و (Windows Update)، وهناك مكون لتعزيز أذونات البرامج الضارة إلى مستوى النظام.

كما أن هناك أيضًا مكونان من التطبيقات الشرعية وهما: (WinDivert)، هو تطبيق لالتقاط حزم الشبكة والتفاعل معها، و (Node.js)، وهو أداة مطورة معروفة لتشغيل (JavaScript) على خوادم الويب.

ووفقًا لتقارير مايكروسوفت وسيسكو، فإن البرامج الضارة تستخدم (WinDivert) و (Node.js) على الحواسيب المستضيفة المصابة لتحويلها إلى وكلاء للقيام بنشاطات ضارة.

وتدعي مايكروسوفت أن البرامج الضارة تحول الحواسيب المستضيفة المصابة إلى وكلاء لنقل البيانات الضارة، بينما تقول سيسكو: إن البرامج الضارة تستخدم الحواسيب المستضيفة المصابة في عمليات الاحتيال عبر النقرات.

ويمكن لأصحاب البرمجية الخبيثة (Nodersok) توزيع وحدات أخرى لأداء مهام إضافية في أي وقت، أو حتى توزيع برمجية ضارة ثانوية، مثل برامج طلب الفدية – رانسومواري – أو أحصنة طروادة المصرفية.

وتنصح مايكروسوفت – لتجنب الإصابة تمامًا – الأشخاص بعدم تشغيل ملفات HTA الموجودة على أنظمتهم، خاصةً إذا كانوا لا يعرفون المصدر الدقيق للملفات.

ووفقًا لمايكروسوفت: فقد تمكنت برمجية (Nodersok) من إصابة الآلاف من الأجهزة في الأسابيع القليلة الماضية، وقالت الشركة: إن معظم الإصابات حدثت هذا الشهر وأصابت مستخدمين في الولايات المتحدة والاتحاد الأوروبي.