الباب الخلفي لإضافات كروم: كيف تتحول "أدوات الإنتاجية" إلى ناقل هجوم على الشركات

مقدمة

في ديسمبر 2024، اكتشف ملايين المستخدمين، دون أن يشعروا بأي شيء، أن إضافات كروم (Chrome) التي يستخدمونها يوميًا كـ"أدوات إنتاجية" تحولت بين ليلة وضحاها إلى برمجيات خبيثة لسرقة البيانات. لم يأتِ الهجوم من ثغرات في الأنظمة أو اختراقات خارجية من قراصنة، بل نشأ من أسلوب أكثر خفاءً: الاستحواذ الخبيث. تقوم شبكات الجريمة الإلكترونية بشراء إضافات كروم الشهيرة من مطوريها الشرعيين بشكل منهجي، ثم تحوّل الأدوات إلى منصات مراقبة وسرقة عبر دفع تحديثات. أثر هذا الحادث على منتجات متعددة، وأثر مباشرة على ملايين المستخدمين، واستهدف بوضوح بيانات الاعتماد الخاصة بالشركات والبيانات الحساسة. هذه ليست حادثة معزولة أو عابرة، بل نمط هجوم متزايد الانتشار في سلسلة توريد الإضافات. بالنسبة لمسؤولي أمن الشركات، أصبحت إضافات المتصفح الآن "نقطة ضعف" لا يمكن تجاهلها، وتتطلب إعادة تقييم استراتيجيات الحماية المقابلة.

نظرة عامة على الحادث

في ديسمبر 2024، تم اكتشاف حقن كود خبيث في عدة إضافات كروم. من بينها، تلقت إضافة متصفح شركة Cyberhaven لأمن البيانات تحديثًا خبيثًا في يوم عيد الميلاد، مما أدى إلى سرقة رموز المصادقة وبيانات اعتماد المستخدمين. في نفس الشهر، تم حقن إضافة أخرى تُدعى VPNCity (التي لديها حوالي 1.5 مليون مستخدم) بكود خبيث بعد تغيير ملكيتها، واستُخدمت لجمع نشاط التصفح وتنفيذ حقن الإعلانات. بالإضافة إلى ذلك، تم تحويل مساعد الدردشة الذكية Parrot Talks إلى أداة سرقة بيانات اعتماد بعد بيعه، مستهدفًا بشكل أساسي حسابات Gmail ووسائل التواصل الاجتماعي. كما تم إضافة كود تعدين العملات المشفرة إلى إضافة مساعدة يوتيوب من قبل المالك الجديد. وفقًا للإحصائيات، أثر حادث Cyberhaven وحده على عدد كبير من مستخدمي المؤسسات، وأظهرت التحقيقات اللاحقة أن سلسلة من الإضافات أظهرت أنماطًا متشابهة للغاية من الاستحواذ الخبيث والتحديث.

التحليل التقني والمخاطر

أسلوب الهجوم: تجاوز الثقة بهوية شرعية

القاسم المشترك في هذه الأحداث هو "التسميم بعد الاستحواذ". أولاً، يبحث المهاجمون عن إضافات تتميز بالخصائص التالية: قاعدة مستخدمين ضخمة (من مئات الآلاف إلى الملايين)، تقييمات ومراجعات عالية، صلاحيات حساسة (مثل ملفات تعريف الارتباط، سجل التصفح، محتوى الصفحات)، واستخدام نشط من قبل المستخدمين، مع إعطاء الأولوية لحجم مستخدمي المؤسسات. بعد ذلك، يتواصل المهاجمون مع المطورين بحجة الاستحواذ أو التعاون أو المساعدة في تحقيق الدخل، ويقدمون مبالغ تتراوح بين 10,000 و100,000 دولار أمريكي. العديد من مطوري الإضافات هم أفراد أو فرق صغيرة، والعروض من خمسة أرقام مغرية للغاية بالنسبة لمشاريع جانبية.

بمجرد اكتمال نقل الملكية، يقوم المالك الجديد بتقديم كود خبيث يبدو وكأنه "تحديث صغير". غالبًا ما يمتلك هذا الكود القدرة على جمع البيانات، وسرقة بيانات الاعتماد، وإنشاء اتصال بخادم القيادة والتحكم (C2)، والحصول على ملفات تعريف الارتباط ورموز الجلسة، وإرسال سجل التصفح وبيانات النماذج مرة أخرى. نظرًا لأن متجر Chrome الإلكتروني لا يجري مراجعة صارمة للكود، ولا يتلقى المستخدمون إشعارًا بتغيير الملكية، فإن العملية برمتها لا تثير الشكوك تقريبًا.

التفاصيل التقنية للحالات الحقيقية

• Cyberhaven (ديسمبر 2024): كان هذا الامتداد يوفّر حمايةً أمنيةً للبيانات للمؤسسات، لكن تم استغلاله بشكل خبيث لسرقة بيانات المصادقة. وكانت شركة الأمن السحابي CloudSEK هي أول من اكتشف النشاط غير الطبيعي، وليس Google أو Cyberhaven نفسها.
• VPNCity (2024): امتداد VPN الذي يضم 1.5 مليون مستخدم، تم حقنه بنصوص برمجية خبيثة بعد الاستحواذ عليه، لجمع بيانات التصفح وحقن الإعلانات، مع بيع البيانات إلى أطراف ثالثة.
• Parrot Talks (2024): أداة محادثة تعمل بالذكاء الاصطناعي، وبعد الاستحواذ عليها استُهدفت حسابات البريد الإلكتروني مثل Gmail بحصاد بيانات الاعتماد، مما أثّر على آلاف المستخدمين قبل اكتشاف الاختراق.
• Particle YouTube Extension (2024): أداة تحسين الفيديو التي أضاف إليها المالك الجديد كودًا لتعدين العملات الرقمية، مما أبطأ أنظمة المستخدمين وجمع سلوك التصفح.

تُظهر هذه الحالات أن المهاجمين يستغلون بشكل منهجي ثقة المستخدمين وثغرات النظام البيئي للامتدادات، ويفضلون استهداف الامتدادات التي يمكنها الوصول إلى البريد الإلكتروني للشركات والأنظمة الداخلية والبيانات الحساسة.

سلسلة الاستغلال والأصول المتأثرة

يؤثر هذا الهجوم على جميع الصلاحيات الممنوحة للامتداد: مخازن ملفات تعريف الارتباط (الكوكيز)، وسجل التصفح، ومحتوى صفحات الويب، والمعلومات المخزنة في مدير كلمات المرور، وحتى جلسات SaaS الخاصة بالمؤسسات. وبالنسبة لمستخدمي المؤسسات، فإن أي تطبيق مؤسسي متزامن مع المتصفح قد يصبح منفذًا لخروج البيانات. ويمكن للمهاجمين باستخدام ملفات تعريف الارتباط أو رموز الجلسات المسروقة تجاوز تسجيل الدخول الموحد للمؤسسات والمصادقة متعددة العوامل، والوصول مباشرة إلى الأنظمة الداخلية ومنصات التعاون والبنية التحتية السحابية.

تحليل تأثير المؤسسات

المخاطر التشغيلية

قد تواجه المؤسسات المتأثرة أحداثًا مثل الاستيلاء على الحسابات، وقراءة بيانات البريد الإلكتروني، وتسريب المستندات الداخلية. وإذا كان مستخدمو الامتداد من موظفي المؤسسة، يمكن للمهاجمين عبر ذلك الدخول إلى جلسات VPN الخاصة بالمؤسسة، أو أدوات إدارة المشاريع، أو الأنظمة المالية، مما يؤدي إلى انقطاع الأعمال أو تلوث مصادر البيانات.

المخاطر المالية

إذا لم تكتشف المؤسسة الهجوم في وقت مبكر، فإن احتمالية التعرض لهجمات الفدية أو الاحتيال المالي ترتفع. وإذا استخدم المهاجمون بيانات اعتماد مصرفية أو بيانات دفع مسروقة لإجراء معاملات، أو استغلوا صلاحيات الوصول لشن هجمات تصيّد موجّه ضد الموردين، فقد يؤدي ذلك إلى خسائر مالية مباشرة.

مخاطر الامتثال

إذا كان الامتداد المتأثر يعالج بيانات شخصية أو بيانات خاضعة للتنظيم أو معلومات العملاء، فقد تخالف المؤسسة قوانين مثل GDPR وCCPA وغيرها من اللوائح ذات الصلة، مما يؤدي إلى غرامات تنظيمية ومسؤوليات قانونية. بالإضافة إلى ذلك، إذا كانت البيانات المسروقة تتضمن أسرارًا تجارية، فقد تؤدي إلى دعاوى قضائية تتعلق بالملكية الفكرية.

مخاطر العلامة التجارية والبيانات

غالبًا ما يكون الضرر الناتج عن الحوادث الأمنية على العلامة التجارية للمؤسسة وثقة العملاء طويل الأمد. وبمجرد الإفصاح عن الحادث، سيشكك الشركاء والعملاء في قدرات المؤسسة على تأمين سلسلة التوريد ومستوى حماية البيانات. خاصةً عندما يحصل المهاجمون على الكود المصدري للمؤسسة، أو خارطة طريق المنتج، أو اتصالات كبار المسؤولين التنفيذيين، فإن مخاطر العلامة التجارية ترتفع بشكل أسي.

سيناريوهات الأعمال الفعليةعلى سبيل المثال، يستخدم فريق الأمن في إحدى المؤسسات إضافة Cyberhaven لكشف تسرب البيانات، ولكن تم زرع باب خلفي في هذه الإضافة نفسها، مما يعني أن أداة الأمن تتحول إلى أداة تجسس، فلا يفقد فريق الأمن قدرته على المراقبة فحسب، بل يصبح أيضًا مراقَبًا من قبل المهاجمين. إن هذا النوع من المواقف، حيث تنقلب أداة الأمن ضد من يستخدمها، خطير بشكل خاص.

مراقبة اتجاهات الصناعة

حوادث الاستحواذ الخبيث على إضافات Chrome ليست معزولة. خلال الأشهر الستة الماضية، تتزايد هجمات سلسلة التوريد في متاجر الإضافات، وتستمر في التوسع نحو الفئات الشائعة في المؤسسات مثل أدوات الذكاء الاصطناعي والمكونات الإضافية للتعاون والشبكات الافتراضية الخاصة (VPN). يركّز نموذج الأمن التقليدي على سد الثغرات والدفاع ضد الاختراقات الخارجية، لكنه يتجاهل مسار التهديد الداخلي المتمثل في تحول البرمجيات الشرعية إلى برمجيات خبيثة.

يمنح نموذج الصلاحيات في إضافات المتصفح هذه الإضافات القدرة على قراءة محتوى الصفحات وتعديله، والوصول إلى ملفات تعريف الارتباط وتخزين المتصفح. وكثيرًا ما تكون آلية التحديث صامتة، مما يتيح للمهاجمين إكمال النشر دون أي تفاعل من المستخدم. وفي المستقبل، يمكن توقع الاتجاهات التالية:

• المهاجمون يفضّلون الاستحواذ على الإضافات الناضجة: فبالمقارنة مع تطوير برمجيات خبيثة جديدة، فإن الاستحواذ على إضافة حسن السمعة أقل تكلفةً وأكثر فعاليةً.
• إضافات الذكاء الاصطناعي تواجه مخاطر أكبر: مساعدات الذكاء الاصطناعي تحتاج عمومًا إلى صلاحيات أعلى، ولديها القدرة على الاتصال بالشبكة وقراءة الملفات، مما يجعلها هدفًا جديدًا.
• يرتفع الطلب على حوكمة متصفحات المؤسسات: ستصبح المراجعة الأمنية للإضافات، وقوائم السماح الأساسية، والمراقبة الفورية تدريجيًا معيارًا أساسيًا لأمن المؤسسات.
• زيادة التدخل التنظيمي وتعزيز التعاون الدولي: قد تصبح متطلبات الشفافية في متاجر الإضافات وآليات تحميل المسؤولية عن عمليات الاستحواذ الخبيثة موضوعًا للنقاش التشريعي.

توصيات الدفاع والاستجابة

على مستوى المؤسسة: إنشاء نظام حوكمة أمن الإضافات

• الاحتفاظ بقائمة بيضاء لإضافات المتصفح المسموح بتثبيتها، ومنع تركيب الإضافات غير المعتمدة.
• مراجعة صلاحيات الإضافات بشكل دوري، وإزالة الصلاحيات غير الضرورية عالية الخطورة.
• متابعة تغييرات ملكية الإضافات وسجلات التحديث، والتركيز على مراجعة الإضافات التي تتغير ملكيتها فجأة.
• نشر سياسات امتثال إلزامية في بيئات المتصفح التي تتضمن جلسات خاصة بالمؤسسة.

على المستوى التقني: تعزيز المراقبة والعزل

• نشر حلول EDR/XDR على نقاط النهاية لمراقبة السلوكيات المشبوهة لإضافات المتصفح، مثل اتصالات الشبكة غير الطبيعية، وتفريغ ملفات تعريف الارتباط، وحقن العمليات.
• استخدام متصفحات مخصصة للمؤسسات أو حلول تصفح معزولة لفصل تشغيل الإضافات عن الأنظمة الحساسة.
• الاستفادة من مصادر استخبارات التهديدات لتتبع مؤشرات الإضافات الخبيثة المعروفة وحظر النطاقات وقيم التجزئة المرتبطة بها في الوقت المناسب.
• فرض ضوابط أكثر صرامة على بيئات المتصفح التي تصل إلى تطبيقات عالية الخطورة (مثل الخدمات المصرفية عبر الإنترنت ومستودعات الأكواد).

على مستوى الإدارة: تحسين خطط الاستجابة

• إدراج إضافات الطرف الثالث ضمن نظام إدارة مخاطر الطرف الثالث، ومطالبة الموردين بتقديم تقارير التحديثات الأمنية.
• وضع إجراءات استجابة للطوارئ بحيث يتم، عند اكتشاف أي سلوك غير طبيعي في إحدى الإضافات، تعطيل الإضافة وعزلها والتحقيق فيها بسرعة، مع إبلاغ الموظفين المتأثرين.
• تضمين سيناريوهات مخاطر الإضافات في التدريب الأمني لزيادة وعي الموظفين بشأن طلبات الصلاحيات.

SecurityPost Insightكشفت حادثة الباب الخلفي في إضافات Chrome عن ثغرة هيكلية في دفاعات الأمن الحديثة للمؤسسات: فنحن نعمل باستمرار على تحصين الخوادم والشبكات والبنية التحتية للهوية، بينما نتجاهل هشاشة المتصفح بوصفه "نقطة نهاية جديدة". عندما يمكن تحويل أدوات الإنتاجية المشروعة بهدوء إلى برامج لسرقة البيانات، لم يعد نموذج الثقة الذي تتبناه المؤسسات وعقلية الأمن القائمة على "الدفاع الخارجي فقط" قائمين.

أما بالنسبة لمسؤولي أمن المعلومات (CISO)، فهناك ثلاث رؤى أساسية: أولاً، يجب توسيع نطاق أمن سلسلة التوريد ليشمل النظام البيئي لإضافات المتصفح، كجزء من إدارة مخاطر الطرف الثالث؛ ثانياً، يجب التعامل مع أي برنامج يمكنه الوصول إلى بيانات المؤسسة كمكوّن عالي الامتيازات، ويتطلب تحققاً مستمراً من سلامته وسلوكه؛ ثالثاً، ينبغي على فرق الأمن دمج مراقبة أمان المتصفح في نظام كشف التهديدات الشامل في أقرب وقت ممكن، بدلاً من الاعتماد على منتجات مكافحة الفيروسات التقليدية على نقاط النهاية.

في المستقبل، ومع استمرار دمج المساعدين الذكيين (AI) في المتصفحات، قد يستخدم المهاجمون وسائل أكثر تقدماً لاستغلال هذه الإضافات. كما يتعين على المنصات مثل Google وMicrosoft تعزيز مراجعة ملكية الإضافات وتدقيق الكود. لكن لا يمكن للمؤسسات انتظار المنصات لإصلاح الأمر بنفسها. فقط من خلال رفع مستوى أمان الإضافات إلى مرتبة مساوية لإدارة الهوية وإدارة الثغرات الأمنية، يمكن حقاً تقليل التهديد الذي تشكله شبكة هجمات سلسلة التوريد الممتدة باستمرار.