نشرت شركة مايكروسوفت تقريرًا أمنيًا كشفت فيه عن إصابة الألوف من الحواسيب التي تعمل بنظام التشغيل ويندوز في جميع أنحاء العالم بسلالة جديدة من البرامج الضارة التي تُنزِّل وتُثبِّت نسخة من إطار العمل Node.js لتحويل الأنظمة المصابة إلى وكلاء، وتُجري عمليات احتيال قائمة على النقرات.

واكتُشِفت البرمجية الخبيثة – التي تُسميها مايكروسوفت (نودرسوك) Nodersok، وتسميها شركة سيسكو (دايفرجنت) Divergent – لأول مرة خلال فصل الصيف الماضي، وقد نُشرت عبر إعلانات ضارة قامت عنوةً بتنزيل ملفات (تطبيقات HTML) على أجهزة الحاسوب الخاصة بالمستخدمين.

وبدأ المستخدمون الذين عثروا على ملفات (تطبيقات HTML) هذه وشغلوها في عملية إصابة متعددة المراحل تتضمن نصوص (إكسل) Excel، و(جافا سكريبت) JavaScript، و(بور شل) PowerShell، وهي النصوص التي أدت في النهاية إلى تنزيل وتثبيت برمجية (نوردسك) الضارة.

وتحتوي البرامج الضارة نفسها على مكونات متعددة، لكل منها دوره الخاص. فهناك وحدة PowerShell تحاول تعطيل برنامجي (ويندوز ديفندر) Windows Defender و(تحديث ويندوز) Windows Update، وهناك مكون لرفع أذونات البرامج الضارة إلى مستوى (النظام) SYSTEM.

ولكن هناك أيضًا مكونان من التطبيقات الشرعية – وهما: WinDivert و Node.js. الأول هو تطبيق لالتقاط حزم الشبكة والتفاعل معها، في حين أن الآخر هو أداة مطورة معروفة لتشغيل JavaScript على خوادم الويب.

ووفقًا لتقريري مايكروسوفت، وسيسكو، فإن البرمجية الخبيثة تستخدم التطبيقين الشرعيين لبدء وكيل SOCKS على الأجهزة المضيفة المصابة. ولكن التقريرين يختلفان في أن مايكروسوفت تدعي أن البرمجية الضارة تحول الأجهزة المضيفة المصابة إلى وكلاء لنقل البيانات الضارة، في حين تقول سيسكو: إن البرمجية تستخدم الأجهزة الوكيلة في عمليات الاحتيال القائمة على النقرات.

يُشار إلى أن برنامج الحماية من الفيروسات المدمج في أنظمة ويندوز Windows Defender يستطيع الآن الكشف عن البرمجية الخبيثة. ولمنع الإصابات، فيُنصح بأن لا يشغل المستخدمون أي ملفات (تطبيقات HTML) يجدونها على أجهزة الحاسوب الخاصة بهم، خاصةً إن كانوا لا يعرفون المصدر الدقيق للملفات. وتعد الملفات التي تُنزَّل من صفحة ويب فجأةً دائمًا علامة سيئة ويجب عدم الوثوق بها، بغض النظر عن الامتداد.

وبحسب مايكروسوفت، فقد تمكنت برمجية (نودرسوك) الخبيثة من إصابة “الآلاف من الأجهزة بالفعل في الأسابيع القليلة الماضية”. وقالت الشركة: إن معظم الإصابات حدثت خلال الشهر الحالي، وأصابت مستخدمين في الولايات المتحدة والاتحاد الأوروبي.

واستنادًا إلى تحليل شركة سيسكو، فيبدو أن البرمجية الخبيثة لا تزال قيد التطوير، ولكن يبدو أن الجهات الفاعلة التي تقف وراءها لديها خطة لتسييل إصاباتها من خلال الاحتيال القائم على النقرات، مما يعني أنه من المرجح أن تستمر البرمجية الضارة في العمل.