Amatera Infostealer: نظرة معمقة في عملياته وتأثيره

يجسد Amatera، وهو برنامج infostealer تصدّر عمليات الرصد التي أجرتها ESET في أمريكا اللاتينية في النصف الأول من 2026، احتراف الجريمة السيبرانية. يستهدف هذا البرنامج الخبيث ضحايا حول العالم، ويسلط الضوء على المشهد المتطور للتهديدات السيبرانية.

صُممت برامج infostealer مثل Amatera لاستخراج طائفة واسعة من البيانات الحساسة، بما في ذلك بيانات تسجيل الدخول وملفات تعريف الارتباط للجلسات والرموز المميزة ومعلومات محافظ العملات المشفرة والملفات من بيئات التطوير. ويمكن للبيانات الواسعة التي تجمعها أن تؤدي إلى اختطاف الحسابات والاحتيال المالي والوصول غير المصرح به إلى شبكات المؤسسات.

نظرة عامة على Amatera

صنفته ESET تحت اسم Win/PSW.Amatera، وهو برنامج infostealer لنظام Windows مكتوب بلغة C++، وقد لوحظ لأول مرة في 2024. ويعمل بنموذج malware-as-a-service (MaaS) (البرمجيات الخبيثة كخدمة)، حيث يحتفظ مطوروه بالبرنامج والبنية التحتية بينما يدفع الشركاء رسوم اشتراك لاستخدامه في حملاتهم.

يُعتقد أن Amatera هو إعادة تسمية لـ ACR Stealer، الذي هو نفسه نسخة محدثة من GrMsk stealer، وفقًا لتحقيق أجرته Sekoia في مايو 2024. وإعادة التسمية ممارسة شائعة في منظومة MaaS، تتيح لمطوري البرمجيات الخبيثة تجنب الرصد ومواصلة عملياتهم.

وبحلول أواخر 2024، كان Amatera متاحًا مقابل 199 دولارًا شهريًا، مع دعم يُقدم عبر Telegram.

قدرات Amatera

يستطيع Amatera استخراج بيانات الاعتماد المخزنة في متصفحات الويب، بما في ذلك ملفات تعريف الارتباط وسجلات التصفح ورموز الجلسات. ويمكنه أيضًا الوصول إلى المستندات الحساسة المتزامنة مع OneDrive أو SharePoint. وأبلغت Microsoft عن ارتفاع حاد في الهجمات على عملائها من المؤسسات بين أواخر أبريل ومنتصف يونيو 2026، منسوبة إلى هذا البرنامج الخبيث.

يجري تطوير البرنامج الخبيث باستمرار ويظهر كحمولة نهائية في سلاسل هجوم متنوعة، ما يعكس مرونة نموذج MaaS. ويختار الشركاء أساليب التوصيل الخاصة بهم، والتي تشمل مواقع مخترقة وإعلانات محركات البحث ورسائل بريد إلكتروني مستهدفة ومستندات مزيفة وتقنيات ClickFix.

أصبح ClickFix، وهو تكتيك هندسة اجتماعية وُثّق لأول مرة في 2024، ناقل توصيل رئيسي لـ Amatera. وغالبًا ما يُخدع الضحايا لتنفيذ أوامر تبدأ عملية الاختراق. وتشمل متغيرات ClickFix:

• AI-fix: صفحات تنتحل صفة خدمات ذكاء اصطناعي شرعية، وتقدم محتوى استكشاف أخطاء مزيفًا.
• CrashFix: إعلانات مزيفة تسبب أعطالًا في المتصفح، مما يدفع الضحايا للبحث عن حل خبيث.
• ConsentFix: يخدع الضحايا لتقديم رموز OAuth للوصول غير المصرح به إلى حسابات Microsoft الخاصة بهم.

كما استغل Amatera مواقع WordPress المخترقة، ووصل إليها عبر بيانات اعتماد ضعيفة أو ثغرات في القوالب والإضافات.

وفي أمريكا اللاتينية، تصدّر Amatera عمليات رصد infostealer لدى ESET في أوائل 2026، متجاوزًا برمجيات خبيثة أخرى مثل Formbook وVidar. وشهد نمو ClickFix كناقل هجوم زيادة بنسبة 500% في عمليات الرصد في أوائل 2025، تلاه انخفاض ثم عودة في 2026 مع تكييف المهاجمين لاستراتيجياتهم.

مخاطر الاختراق بواسطة Amatera

تشمل العواقب المحتملة للاختراق بواسطة Amatera:

• الوصول غير المصرح به إلى الحسابات الشخصية أو المؤسسية عبر بيانات اعتماد مسروقة.
• سرقة أصول العملات المشفرة عند تعرض معلومات المحفظة.
• اختراق البنية التحتية عبر مفاتيح SSH أو أسرار التطوير.
• تثبيت برمجيات خبيثة إضافية.
• استخدام الحسابات المخترقة للاحتيال أو لمزيد من التوغلات.

يمتد الخطر إلى أصحاب العمل، خاصة عندما يخلط الضحايا بين الملفات الشخصية وملفات العمل في المتصفح نفسه. ويمكن للمعلومات المسروقة أن تكون بوابة لهجمات إضافية.

منع الاختراق والاستجابة له

للتخفيف من المخاطر، خاصة في بيئات الشركات، يُوصى بالإجراءات التالية:

• توخي الحذر من أي رسالة CAPTCHA أو خطأ شرعية تطلب تنفيذ أوامر.
• تطبيق قواعد التحكم في التطبيقات للحد من استخدام مفسرات النظام.
• مراقبة الأنشطة غير العادية في PowerShell وأدوات النظام الأخرى.
• استخدام أساليب مصادقة مقاومة للتصيد الاحتيالي.
• إبقاء الملفات الشخصية وملفات العمل منفصلة.
• تصفية المواقع المشبوهة والتنزيلات التي تبدأ من الإعلانات.

إذا تأكد الاختراق، فإن عزل الجهاز المصاب أمر بالغ الأهمية. ومن جهاز موثوق، ألغِ الجلسات النشطة وأعد تعيين كلمات المرور وراجع الوصول إلى التطبيقات الحساسة.

يجسد Amatera الحالة الراهنة لسوق infostealer، حيث يحتفظ المطورون بالبرنامج الخبيث بينما يوزعه الشركاء عبر قنوات متنوعة. ويمكن أن يستمر التهديد الذي تشكله البيانات المسروقة لفترة طويلة بعد الاختراق الأولي، ما يبرز الحاجة إلى اليقظة المستمرة ضد التهديدات السيبرانية المتطورة.

 

المصدر: ESET WeLiveSecurity