"كاسبرسكي" يرصد نشاطاً لبرمجية PipeMagic الخبيثة في أمريكا اللاتينية والخليج

الثلاثاء، 19 أغسطس 2025 02:48 م

كاسبرسكي

محمد السيد

استطاع فريق الأبحاث والتحليل العالمي (GReAT) في كاسبرسكي، بالتعاون مع خبراء أبحاث الثغرات الأمنية في شركة BI.ZONE، أن يرصد نشاطاً جديداً لبرمجية بايب ماجيك (PipeMagic) الخبيثة، التي اكتشفت لأول مرة عام 2022 ثم عاودت الظهور في عام 2025. فقد توسعت هجمات البرمجية إلى مناطق متعددة، إذ رُصدت في البداية في آسيا، ثم اكتشفت لاحقاً في المملكة العربية السعودية في أواخر عام 2024.

متابعة البرمجية الخبيثة ومسار تطورها

قام الباحثون على متابعة هذه البرمجية الخبيثة ومسار تطورها، وحددوا أبرز التغييرات في أساليب مشغليها، وأجروا تحليلاً تقنياً لثغرة مايكروسوفت المعروفة بالاسم الرمزي: CVE-2025-29824، فمن أصل121 ثغرة رصدت في شهر أبريل عام 2025، كانت هذه الثغرةُ الوحيدةَ التي استخدمت كثيراً في الهجمات السيبرانية، وقد استُهدِفت بالتحديد بأداة مدمجة في سلسلة إصابة PipeMagic، وأتاحت هذه الثغرةُ تصعيد الصلاحيات في نظام التشغيل جرّاء خلل في برنامج تشغيل سجل ملف النظام clfs.sys.

رمجة التطبيقات الخاصة بالنظام

استخدمت إحدى الهجمات الجديدة في عام 2025 ملف فهرس المساعدة من مايكروسوفت (Microsoft Help Index File)، الذي يستخدم لغرضين هما: فك تشفير وتنفيذ تعليمات الشيل كود، هو يشفر باستخدام خوارزمية RC4 (تشفير التدفق) بالترميز السداسي العشري، وبعد فك التشفير يشغل الكود عبر دالة EnumDisplayMonitors WinAPI، مما يتيح الوصول إلى عناوين واجهات برمجة التطبيقات الخاصة بالنظام عبر حقن العمليات.

تطبيق شات جي بي تي

بالإضافة إلى ذلك اكتشف الباحثون إصداراً جديداً مطوراً من أداة تحميل برمجية PipeMagic الخبيثة، التي كانت على هيئة تطبيق شات جي بي تي، ويشبه هذا التطبيق نظيره المستخدم سابقاً في هجمات عام 2024 على المؤسسات السعودية.