GolangGhost يسرق أسرار Chrome ويستهدف MetaMask على نظام التشغيل macOS

تعمل حملة مقابلات عمل مزيفة على إصابة أجهزة macOS بفيروس GolangGhost، وهو حصان طروادة للوصول عن بعد قادر على سرقة بيانات اعتماد Chrome، وجمع بيانات محفظة العملة المشفرة، وتعديل الأذونات المرتبطة بامتداد متصفح MetaMask.

يقترب المهاجمون من محترفي العملات المشفرة وWeb3 بينما يتظاهرون بأنهم مسئولو توظيف. إنهم يوجهون الأهداف إلى مواقع ويب مقنعة لتقييم المهارات، ويصنعون خطأ في الكاميرا أو الميكروفون، ويقنعون المرشحين بلصق أمر إصلاح مفترض في الوحدة الطرفية.

بحسب أتحقيق SOCRadarتم نشر العملية في 20 يوليو 2026، حيث تقوم بتسليم GolangGhost إلى أنظمة macOS وPylangGhost إلى أجهزة Windows. ويربط الباحثون الحملة بشبكة Chollima الشهيرة، والمعروفة أيضًا باسم Wagemole، وهي مجموعة تهديد متحالفة مع كوريا الشمالية.

تبدأ الإصابة بفرصة عمل غير مرغوب فيها، وغالبًا ما يتم الترويج لها عبر LinkedIn أو Discord أو Telegram أو البريد الإلكتروني. قد ينتحل القائمون على التوظيف صفة شركات العملات المشفرة القائمة، أو منصات الموارد البشرية، أو شركات الاستثمار.

يتلقى المستهدفون روابط فردية للتقييمات عبر الإنترنت التي تجمع الأسماء وعناوين البريد الإلكتروني وأرقام الهواتف وتاريخ العمل وملفات تعريف الوسائط الاجتماعية. تقوم المواقع أيضًا ببصمة المتصفح ونظام التشغيل ودقة الشاشة والمنطقة الزمنية وتفاصيل الجهاز الأخرى.

يتضمن التقييم أسئلة خاصة بالأدوار ومؤقتات العد التنازلي وتحذيرات تبديل علامات التبويب ومرحلة تسجيل الفيديو النهائية. تخلق هذه الميزات حالة من الإلحاح وتجعل العملية الاحتيالية تشبه مقابلة شرعية عن بعد.

تخفي الحافظة الأمر الطرفي الضار

في المرحلة النهائية، تدعي صفحة المقابلة أن الكاميرا لا يمكن أن تبدأ بدون تحديث برنامج تشغيل الرسومات أو الفيديو. ويعرض تعليمات استكشاف الأخطاء وإصلاحها لنظام التشغيل الخاص بالزائر.

عندما يقوم الهدف بنسخ الأمر المرئي، تعترض JavaScript حدث النسخ وتستبدل محتويات الحافظة بأمر ضار. يتضمن الأمر نسخة مكررة من النص المتوقع، مما يساعد على ظهور مخرجات الوحدة الطرفية الناتجة بشكل شرعي.

تنتمي هذه الطريقة إلى عائلة ClickFix الأوسع من هجمات الهندسة الاجتماعية.بحث المقابلة المعدية من Microsoftقام بتوثيق مخططات التوظيف ذات الصلة التي يقوم المهاجمون من خلالها بإقناع المرشحين بتنفيذ الأوامر، أو تثبيت الحزم، أو الثقة في مشاريع التطوير الضارة.

يقوم GolangGhost بتنزيل مترجم Go الخاص به

على نظام التشغيل macOS، يتم تنزيل الأمر الملصق وتشغيل برنامج Bash النصي. يقوم البرنامج النصي بإنشاء دليل عمل مخفي ويسترد أرشيفًا متخفيًا في هيئة برنامج تشغيل Intel من مجال مطبعي تحت عنوان Nvidia.

يتحقق المثبت مما إذا كان جهاز Mac يستخدم Apple silicon أو معالج Intel. ثم يقوم بعد ذلك بتنزيل مترجم Go الرسمي المناسب واستخراج الملفات المطلوبة في دليل مخفي أسفل/var/tmp.

تستخدم البرامج الضارة المترجم الذي تم تنزيله محليًا لتشغيل ملفات Go المصدر الخاصة بها. يلغي هذا الأسلوب الحاجة إلى تثبيت Go على جهاز Mac الخاص بالضحية قبل بدء الهجوم.

يحافظ وكيل التشغيل على تشغيل البرامج الضارة

يقوم البرنامج النصي للتثبيت بإنشاء وكيل التشغيل المسمىcom.darwinstreamfixer.plistداخل المستخدم~/Library/LaunchAgentsدليل. يخبر الملف نظام التشغيل macOS بإعادة تشغيل البرنامج الضارdrivfixer.shالبرنامج النصي بعد تسجيل دخول المستخدم.

يدخل GolangGhost بعد ذلك في حلقة أوامر ويتواصل مع خادم القيادة والتحكم الخاص به. يمكن لوحداته جمع معلومات النظام، وتحميل وتنزيل الملفات، وتنفيذ أوامر shell، وسرقة بيانات المتصفح، وإرجاع المعلومات المجمعة إلى المهاجمين.

سابقًابحث Cisco Talos في GolangGhostوجدت أن عائلة البرامج الضارة تشترك في هيكلها وأوامرها مع PylangGhost. لاحظ تالوس إصدار Go على نظام التشغيل macOS وإصدار Python على نظام التشغيل Windows.

يستخدم GolangGhost نظام Applesecurityأداة سطر الأوامر لطلب سر Chrome Safe Storage من macOS Keychain. يستخدم Chrome هذا السر عند حماية معلومات المتصفح المخزنة محليًا.

تستمد البرامج الضارة مفتاح فك التشفير المطلوب من خلال PBKDF2 وتطبق فك تشفير AES-CBC على قواعد بيانات SQLite في Chrome. يمكن أن يؤدي ذلك إلى كشف بيانات الاعتماد المخزنة محليًا وملفات تعريف الارتباط الخاصة بالجلسة للمهاجم.

قد تسمح ملفات تعريف الارتباط المسروقة للمهاجمين بإعادة استخدام جلسات موقع الويب النشطة دون إدخال كلمة مرور الضحية مرة أخرى. يعتمد التأثير الدقيق على الخدمة، وصلاحية ملف تعريف الارتباط، وفحوصات الأمان الإضافية، وما إذا كان الموفر قد ألغى الجلسة المخترقة.

• بيانات اعتماد تسجيل الدخول إلى Chrome المحفوظة
• ملفات تعريف الارتباط لجلسة المتصفح
• معلومات الملف الشخصي والإضافات في Chrome
• بيانات ملحق محفظة العملة المشفرة
• بيانات ملحق مدير كلمة المرور
• الملفات المطلوبة من خلال الأوامر عن بعد

يستهدف GolangGhost امتدادات محفظة العملات المشفرة

تبحث وحدة سرقة المتصفح في الملفات الشخصية في Chrome عن الإضافات المرتبطة بمحافظ العملات المشفرة ومديري كلمات المرور. تشمل الأهداف المحددة MetaMask وCoinbase Wallet وTrust Wallet وRabby Wallet وPhantom وTronLink و1Password والعديد من المنتجات الأخرى.

تالوس وجدت سابقاأن البرامج الضارة ذات الصلة يمكنها جمع بيانات الاعتماد وملفات تعريف الارتباط والمعلومات من أكثر من 80 امتدادًا للمتصفح. يحتفظ أحدث إصدار من نظام التشغيل macOS بإمكانيات واسعة النطاق للمحفظة والمتصفح.

لا يؤدي العثور على ملفات ملحق المحفظة إلى الكشف تلقائيًا عن عبارة الاسترداد السرية لكل محفظة. ومع ذلك، فإن جلسات المتصفح المسروقة، وبيانات الامتدادات المحلية، وكلمات المرور، والوصول عن بعد يمكن أن تمنح المهاجمين عدة طرق لاستهداف الحسابات أو التعامل مع المعاملات.

عثرت SOCRadar على أمر GolangGhost الذي يغلق Chrome بالقوة ويعدل بياناتهSecure Preferencesملف JSON. تقوم البرامج الضارة بإدراج الأذونات التي تتضمنactiveTab,clipboardWrite,webRequest، وunlimitedStorage.

يربط التكوين المعدل هذه الأذونات بامتداد MetaMask. قد يؤدي هذا إلى وضع المهاجم في وضع أقوى لمراقبة نشاط المتصفح، أو التعامل مع محتوى الحافظة، أو الوصول إلى طلبات الويب، أو إساءة استخدام تخزين الإضافات، اعتمادًا على تطبيق Chrome وتكوين الضحية.

لا تعني النتيجة أن MetaMask نفسه يحتوي على ثغرة أمنية. تقوم البرامج الضارة أولاً باختراق جهاز Mac ثم العبث بملفات تكوين المتصفح الموجودة على الجهاز المصاب.

يسرق تطبيق macOS المزيف أيضًا بيانات اعتماد المسؤول

يقوم البرنامج النصي للعدوى بتشغيل تطبيق اسمهCodeFixerNow.app. تعرض مكتبة SwiftUI الديناميكية المرتبطة بها نافذة مزيفة لتحديث البرامج تطلب اسم مستخدم macOS وكلمة مرور المسؤول للضحية.

عندما يرسل الضحية النموذج، يجمع التطبيق اسم المستخدم وكلمة المرور ويرسلهما إلى البنية التحتية التي يتحكم فيها المهاجم. وهذا يمنح المهاجمين طريقًا آخر للوصول المميز حتى في حالة فشل سرقة بيانات اعتماد المتصفح.

وبالتالي، تجمع الحملة بين عدة تقنيات بدلاً من الاعتماد على استغلال واحد. ويستخدم الهندسة الاجتماعية، والتنفيذ الطرفي، وسرقة المتصفح، والمثابرة، واستهداف المحفظة، وجمع كلمات المرور المباشرة في نفس سلسلة العدوى.

لماذا يواجه عمال التشفير وWeb3 مخاطر أكبر

تستهدف الحملة المطورين والمهنيين غير التقنيين الذين قد يتحكمون في الأصول الرقمية أو لديهم إمكانية الوصول إلى أنظمة الشركة القيمة. تشمل الأدوار المبلغ عنها شركاء الاستثمار والمستشارين القانونيين ومسؤولي الامتثال والمديرين الماليين وقادة المنتجات ومحللي الأعمال.

يمكن أن يؤدي جهاز Mac الشخصي المخترق إلى كشف محافظ وحسابات الفرد. قد يمنح جهاز Mac المخترق الخاص بالشركة أيضًا للمهاجمين إمكانية الوصول إلى الاتصالات الداخلية والتعليمات البرمجية المصدرية والخدمات السحابية ومعلومات العملاء والبنية التحتية للإنتاج.

استخدمت حملات المقابلات المزيفة المسجلة أساليب مماثلة لسنوات. توصي Microsoft بالتعامل مع سير عمل التوظيف كسطح هجوم واستخدام بيئات معزولة لمشاريع المقابلة والمستودعات والتقييمات الفنية.

كيف يمكن للمنظمات الحد من المخاطر

يجب على الشركات تحذير الموظفين من أن مسؤولي التوظيف الشرعيين لا يجب أن يطلبوا منهم لصق أوامر غير مفسرة في Terminal أو PowerShell. لا ينبغي أبدًا أن تتطلب مشكلة الكاميرا من المرشح تثبيت برنامج تشغيل غير معروف من موقع المقابلة.

يجب على فرق الأمان أيضًا مراقبة عوامل الإطلاق الجديدة، والتغييرات غير المتوقعة في ملفات تفضيلات Chrome، والاستخدام المشبوه لنظام التشغيل macOSsecurityالأداة المساعدة، وتنزيلات برنامج التحويل البرمجي Go، والعمليات التي يتم إطلاقها من الدلائل المؤقتة.

توضح Apple أن نظام التشغيل macOS يجمع بين Gatekeeper وNotarization وXProtect لمنع البرامج الضارة ومعالجتها. لكن،إرشادات أمان macOS من Appleلا يمكن منع كل حادث عندما يقوم المستخدم عمدًا بلصق وتشغيل أمر مقدم من المهاجم.

• لا تقم بإجراء مقابلات عمل شخصية على أجهزة الشركة المميزة.
• لا تقم مطلقًا بتشغيل الأوامر المقدمة من خلال خطأ غير متوقع في الكاميرا.
• التحقق من مسؤولي التوظيف من خلال الموقع الرسمي لصاحب العمل وقنوات الاتصال.
• استخدم جهازًا افتراضيًا معزولًا للقيام بمهام الترميز أو المقابلة غير الموثوق بها.
• قم بمراجعة الملفات التي تم إنشاؤها حديثًا ضمن~/Library/LaunchAgents.
• التحقيق في التعديلات غير المتوقعة على ChromeSecure Preferencesملف.
• استخدم ملفات تعريف متصفح منفصلة للعمل والحسابات الشخصية وأنشطة العملة المشفرة.
• حافظ على تحديث أنظمة التشغيل macOS، وChrome، وبرامج الأمان، وملحقات المحفظة.

ما يجب فعله بعد الاشتباه في الإصابة بـ GolangGhost

يجب على أي شخص قام بلصق أمر موقع التوظيف في الوحدة الطرفية أن يقوم على الفور بفصل جهاز Mac عن الشبكة. يجب على المستخدم تجنب إدخال كلمات مرور جديدة أو إنشاء محفظة بديلة على الجهاز المشتبه به.

ينصح MetaMask ضحاياعمليات الاحتيال في وظائف التشفيرلإيقاف تشغيل الجهاز المخترق ونقل الأصول من جهاز آخر موثوق به. إذا تم الكشف عن عبارة الاسترداد السرية، فيجب على المستخدمين إنشاء محفظة جديدة بعبارة جديدة ونقل الأصول المتبقية في أسرع وقت ممكن.

يجب على الشركات الحفاظ على الأدلة قبل إعادة بناء الجهاز. يجب على فرق الأمان جمع السجلات ذات الصلة، وفحص Launch Agents، ومراجعة ملفات المتصفح، وتحديد الاتصالات الصادرة، وإلغاء الجلسات النشطة، وتدوير بيانات الاعتماد، والتحقق من الأنظمة الأخرى التي يتم الوصول إليها من جهاز Mac.

1. افصل جهاز Mac المشتبه به عن اتصالات Wi-Fi وEthernet وVPN.
2. اتصل بفريق الأمن التابع للمؤسسة أو المستجيب المؤهل للحوادث.
3. استخدم جهازًا منفصلاً موثوقًا به لتغيير كلمات مرور الحساب المهمة.
4. قم بإلغاء جلسات المتصفح ورموز واجهة برمجة التطبيقات (API) وبيانات الاعتماد السحابية وكلمات مرور التطبيقات.
5. انقل العملة المشفرة من المحافظ التي يحتمل أن تكون مكشوفة إلى محفظة تم إنشاؤها حديثًا.
6. مراجعة موافقات المحفظة والمعاملات الأخيرة بحثًا عن نشاط غير مصرح به.
7. أعد تثبيت macOS أو قم باستعادة الكمبيوتر من خلال عملية استرداد معتمدة.

يجب ألا يعتمد المستخدمون على حذف برنامج نصي واحد أو وكيل التشغيل. يوفر GolangGhost إمكانية تنفيذ الأوامر عن بعد ونقل الملفات، لذلك قد يقوم المهاجمون بتثبيت حمولات إضافية بعد الاختراق الأول.

وثائق الحماية من البرامج الضارة من Appleيصف وسائل الحماية المضمنة المتوفرة في نظام التشغيل macOS، لكن الإصابة المؤكدة بالوصول عن بُعد تستدعي إجراء تحقيق كامل واسترداد نظام موثوق به.

ميتا ماسكإرشادات الاستجابة للاحتيال الوظيفييحذر أيضًا من إنشاء كلمات مرور أو محافظ جديدة على الكمبيوتر المخترق. يمكن للمهاجمين التقاط بيانات الاعتماد البديلة هذه بينما تظل البرامج الضارة نشطة.

مؤشرات GolangGhost المحددة للتسوية

المؤشرات التالية تأتي من الأحدثتقرير التهديد SOCRadar. يتم إلغاء تحديد النطاقات والعناوين لمنع الوصول غير المقصود. يجب على المنظمات التحقيق فيها إلى جانب الأدلة السلوكية لأن البنية التحتية يمكن أن تتغير أو تقدم محتوى غير ذي صلة بعد انتهاء الحملة.

التعليمات