هجوم DarkSword يستهدف هواتف آيفون وأندرويد عبر مواقع مقلدة.. والثغرات سبق إصلاحها
كشف باحثون في الأمن السيبراني عن حملة إلكترونية تُعرف باسم DarkSword، تستهدف هواتف آيفون وأجهزة أندرويد عبر مواقع إلكترونية مقلدة أو مخترقة، وتزرع برمجيات خبيثة تُصمَّم وفق خصائص جهاز الضحية. ويعتمد الهجوم على ثغرات سبق إصلاحها في نظامي التشغيل، ما يجعل الأجهزة التي لم تُحدَّث أكثر عرضة للخطر.
تقييم بارتباط محتمل بروسيا
ويقدّر الباحثون، بدرجة ثقة تتراوح بين المتوسطة والعالية، أن المهاجمين جزء من جهاز الاستخبارات الخارجية الروسي. ولا يمثل ذلك حكمًا قاطعًا بشأن الجهة المنفذة، بل تقييمًا يستند إلى مؤشرات تقنية وتحليلية، لذلك أُبقي على مستوى الثقة بدل الجزم بالمسؤولية.
ولم تقتصر الحملة على موقع واحد، إذ استهدفت مواقع عدة يرتبط معظمها بالحرب التي تواصل روسيا شنّها ضد أوكرانيا. وقد يصل عدد المواقع المستهدفة إلى مئات، ما يوسّع نطاق المستخدمين المعرضين للهجوم.
كيف يبدأ الاختراق؟
يبدأ الهجوم عندما يفتح مستخدم هاتف يعمل بنظام iOS أو Android أحد المواقع المستهدفة. وعند تحميل الصفحة، يُحقن كود JavaScript في حركة المرور، ليبدأ أولًا بجمع معلومات عن الجهاز وإنشاء ملف يحدد خصائصه.
بعد ذلك تُرسل الحمولة الخبيثة المناسبة للمنصة التي يستخدمها الضحية. ولا يعتمد المهاجمون على برنامج واحد لجميع الأجهزة، بل يجهزون البرمجية وفق نوع الجهاز والبيئة التي يعمل فيها. وتحاول هذه البرمجيات سرقة ملفات تعريف الارتباط الخاصة بالمتصفح، فيما تستهدف في بعض الحالات كلمات مرور شبكات Wi‑Fi وجميع بيانات الهاتف.
ويختلف نوع البيانات التي يحاول الهجوم استخراجها من منصة إلى أخرى، لكن هذه البيانات قد تمنح المهاجمين نطاقًا واسعًا من المعلومات عن زوار المواقع المستهدفة.
تقليد موقع مرتبط بالذكرى الـ250 لاستقلال الولايات المتحدة
كان موقع america250.org من بين المواقع التي جرى تقليدها. ويتبع الموقع مجموعة غير حزبية تضم أعضاء في الكونغرس ورجال أعمال، وينتمي إليها أيضًا عضو سابق واحد على الأقل في إدارة الرئيس الأميركي دونالد ترامب. ويرتبط الموقع بالاحتفال بالذكرى الـ250 لاستقلال الولايات المتحدة.
وسجّل المهاجمون نطاق america250[.]holiday لاستخدامه في تقليد الموقع. وعمل العنوان بوصفه وسيطًا عكسيًا للموقع الأصلي، إذ كان يجلب محتواه الحقيقي ثم يضيف إليه كود JavaScript خبيثًا قبل عرضه للزائر. ونتيجة لذلك، تظهر للمستخدم صفحة تشبه الموقع الأصلي بدرجة كبيرة، بينما يُنفَّذ في الخلفية كود يستهدف جهازه.
فإن خطورة الحملة لا ترتبط بوجود ثغرات جديدة غير معروفة، بل بقدرة الثغرات التي أُغلقت سابقًا على العمل مجددًا على الهواتف التي لم تُحدَّث أنظمتها.
أما المستخدمون الذين يحافظون على تحديث أجهزة iOS وAndroid، فتشملهم الحماية التي وفرتها التصحيحات السابقة لهذه الثغرات. في المقابل، يبقى من يؤجلون تحديث هواتفهم معرضين للاستغلال عند زيارة المواقع المقلدة أو المخترقة.
ونُشرت نتائج الهجوم والتفاصيل التقنية الأولى المتعلقة بحملة DarkSword في 5 نوفمبر 2026، لتصل بذلك معلومات الحملة إلى الجمهور للمرة الأولى في ذلك التاريخ.
المصدر: shiftdelete
