باب خلفي في إضافات Chrome: كيف تصبح أدوات الإنتاجية ناقلًا للهجوم على المؤسسات

امتدادات Chrome كباب خلفي: كيف تتحول أدوات الإنتاجية إلى ناقل هجوم للشركات

في ديسمبر 2024، اكتشف ملايين المستخدمين أن امتدادات Chrome الخاصة بهم تحولت بين ليلة وضحاها إلى برمجيات خبيثة تسرق البيانات. لم يعتمد المهاجمون على القرصنة أو استغلال الثغرات، بل على أسلوب أكثر خفاءً: الاستحواذ الخبيث. قامت عصابات إجرامية إلكترونية بشراء امتدادات Chrome الشائعة بشكل منهجي من مطورين شرعيين، ثم دفعت بتحديثات تحمل تعليمات برمجية خبيثة لتحويل أدوات الإنتاجية إلى منصات مراقبة. لم تكن هذه الامتدادات مجرد إضافات متصفح عشوائية، بل كان العديد منها موجهًا خصيصًا لمستخدمي المؤسسات وبيانات اعتماد الشركات والبيانات التجارية الحساسة. أصبحت امتدادات المتصفح ناقل الهجوم الأكثر استهانة به في أمن المؤسسات.

نظرة عامة على الأحداث: من "أداة إنتاجية" إلى "أداة سرقة بيانات"

في 25 ديسمبر 2024، تم اكتشاف أن تحديث عيد الميلاد لامتداد أمن بيانات المؤسسات Cyberhaven يحتوي على تعليمات برمجية خبيثة تهدف إلى سرقة رموز المصادقة وبيانات اعتماد المستخدمين. اكتشفت شركة الأمن CloudSEK هذا الحادث أولاً، بينما لم ترصده Google في الوقت المناسب. وفي نفس الوقت تقريبًا، تم حقن امتداد VPN "VPNCity" الذي يملك 1.5 مليون مستخدم بتعليمات برمجية خبيثة لجمع بيانات التصفح. كما تم تحويل امتداد المساعد الذكي Parrot Talks بعد تغيير ملكيته إلى أداة سرقة بيانات اعتماد تستهدف حسابات Gmail ووسائل التواصل الاجتماعي للمستخدمين. وأضاف المالكون الجدد وحدة تعدين العملات المشفرة إلى امتداد تحسين الفيديو Particle YouTube. فيما يلي قائمة موجزة بالامتدادات المتأثرة:

| اسم الامتداد | النوع | حجم المستخدمين | التأثير الرئيسي | | --- | --- | --- | --- | | Cyberhaven | أمن بيانات المؤسسات | غير معلن | سرقة رموز المصادقة وبيانات اعتماد المؤسسات | | VPNCity | VPN | 1.5 مليون | حقن تعليمات برمجية خبيثة لجمع بيانات التصفح | | Parrot Talks | مساعد ذكي | غير معلن | سرقة بيانات اعتماد Gmail وحسابات التواصل الاجتماعي | | Particle YouTube | تحسين الفيديو | غير معلن | إضافة تعليمات تعدين العملات المشفرة |

هناك قاسم مشترك بين هذه الحالات: جميع الامتدادات عملت لسنوات تحت أسماء مطورين شرعيين، واكتسبت تقييمات عالية وقاعدة مستخدمين كبيرة، ثم تم الاستحواذ عليها بشكل خبيث لتصبح ناقل هجوم.

التحليل التقني والمخاطر: سلسلة هجوم الاستحواذ الخبيث من خمس خطوات

هذه الهجمات ليست اختراقًا عشوائيًا، بل هي "هجمات استحواذ" منظمة ومدروسة. تتضمن سلسلة الهجوم خمس مراحل رئيسية:

تحديد الهدف: يبحث المهاجمون عن امتدادات تتمتع بالخصائص التالية: قاعدة مستخدمين ضخمة (من مئات الآلاف إلى الملايين)، تقييمات ومراجعات عالية (لتبدو موثوقة)، صلاحيات حساسة (مثل ملفات تعريف الارتباط وسجل التصفح ومحتوى الصفحات)، معدل استخدام نشط مرتفع، ويفضل أن تكون لديها قاعدة مستخدمين من المؤسسات.التواصل مع المطوّر: يتظاهر المهاجم بأنه مشترٍ شرعي، ويتواصل مع المطوّر عبر وسائل مثل "الاستحواذ" أو "التعاون" أو "اقتراحات تحقيق الدخل"، وعادةً ما يتراوح العرض بين عشرات الآلاف وأكثر من مائة ألف دولار. العديد من المطوّرين هم مطوّرون مستقلون أو فرق صغيرة، يفتقرون إلى القدرة على مقاومة العروض السخية، وبعضهم لا يعرف حتى لمن يبيع.

نقل الملكية: بمجرد اكتمال الصفقة، تنتقل ملكية حساب Google إلى المهاجم. خلال هذه العملية، لا يتلقى المستخدمون أي إشعار، ولا يقوم Google بمراجعة المالك الجديد. وهذا يعني أن إضافة كانت آمنة في الأصل يمكن أن تغيّر جهة التحكم فيها بالكامل في غضون أيام.

دفع تحديثات ضارة: ينشر المالك الجديد "تحديثًا صغيرًا" يبدو طبيعيًا، لكنه في الواقع يضيف وظائف جمع البيانات إلى الكود. قد تشمل هذه التحديثات: إضافة استدعاءات لواجهات برمجة التطبيقات لجمع البيانات، حقن نصوص برمجية لسرقة بيانات الاعتماد، إنشاء قنوات للقيادة والتحكم (C2)، اختطاف ملفات تعريف الارتباط ورموز الجلسات، وتصدير سجل التصفح وبيانات النماذج بكميات كبيرة.

استغلال البيانات لتحقيق الربح: توجد طرق متعددة لتحقيق الدخل من البيانات المسروقة: بيعها في أسواق بيانات الاعتماد الخاصة بالشركات على الشبكة المظلمة، استخدامها لاختطاف الجلسات والوصول إلى أنظمة الشركات، شن هجمات تصيد موجّهة استنادًا إلى دفتر العناوين، استخدامها كوصول أولي لهجمات برامج الفدية، وحتى استغلالها من قبل مجموعات التهديدات المتقدمة المدعومة من الدول في أنشطة تجسس.

يكمن خفاء هذا الهجوم في أن الكود الخبيث يُوزَّع عبر آلية تحديث الإضافات الشرعية، وقد اكتسبت الإضافة الثقة قبل انتقال الملكية. الأدوات الأمنية التقليدية غالبًا ما تكشف فقط الملفات الثنائية أو السلوكيات الشاذة، وتفتقر إلى القدرة على مراقبة كود JavaScript الذي يعمل داخل الإضافات، وبالتالي يصعب اكتشافه في المراحل المبكرة من الهجوم.

تحليل تأثير المؤسسات: انفجار المخاطر متعدد الأبعاد

بالنسبة للمؤسسات، فإن تأثير زرع أبواب خلفية في إضافات المتصفح يتجاوز بكثير تسريب الخصوصية الشخصية.

• مخاطر تشغيلية: يمكن للإضافات الخبيثة في متصفحات الموظفين سرقة بيانات اعتماد الأنظمة الداخلية، ويستغلها المهاجمون للتحرك الجانبي، والوصول إلى مستندات المشاريع وأنظمة البريد الإلكتروني وحتى لوحات إدارة تكنولوجيا المعلومات، مما يؤدي إلى انقطاع الأعمال أو حذف البيانات.
• مخاطر مالية: قد تؤدي حوادث تسريب البيانات إلى دعاوى قضائية وغرامات تنظيمية وتعويضات للعملاء، بالإضافة إلى خسائر توقف الأعمال، وقد تصل المبالغ إلى ملايين الدولارات. بالنسبة للشركات المدرجة في البورصة، قد تتسبب أيضًا في تقلبات في أسعار الأسهم.
• مخاطر الامتثال: إذا كان التسريب يشمل بيانات مقيمين في الاتحاد الأوروبي، فقد يشكل انتهاكًا للائحة العامة لحماية البيانات (GDPR)؛ وفي قطاعي المال والرعاية الصحية، قد يمس متطلبات تنظيمية محددة مثل PCI DSS وHIPAA، وستواجه المؤسسات عمليات تدقيق وعقوبات صارمة.
• مخاطر العلامة التجارية: سيشك العملاء والشركاء في قدرة المؤسسة على حماية البيانات، مما يؤدي إلى تراجع الثقة بالعلامة التجارية وفقدان فرص الأعمال المستقبلية.
• مخاطر البيانات: أي معلومات حساسة تُنقل عبر المتصفح، بما في ذلك بيانات اعتماد تسجيل الدخول والبيانات الشخصية للعملاء والكود المصدري والمستندات الاستراتيجية، قد يتم تسريبها.والأمر الذي يستدعي الحذر بشكل خاص هو أن العديد من موظفي المؤسسات يقومون بتثبيت إضافات تبدو مفيدة من تلقاء أنفسهم، وقد لا تكون هذه الإضافات خاضعة لموافقة قسم تقنية المعلومات، مما يشكل ثغرة أمنية.

رصد اتجاهات القطاع: صعود هجمات سلسلة توريد الإضافات

هذه الحادثة ليست حالة معزولة، بل هي نموذج مصغر لعدة هجمات مماثلة وقعت بين عامي 2024 و2025. وقد وثّقت مؤسسات الأبحاث الأمنية العشرات من الحوادث التي تم فيها نشر إضافات خبيثة عبر الاستحواذ على إضافات قائمة. ويعود سبب توجه المهاجمين إلى هذا المجال إلى وجود ثغرات واضحة في الثقة داخل النظام البيئي لإضافات المتصفح: فعمليات المراجعة في المتاجر الرسمية تركز على الشكل أكثر من الجوهر، ولا يوجد أي إشراف تقريباً على تغيير ملكية الإضافات؛ وغالباً ما يفتقر المطورون إلى الوعي الأمني، مما يجعلهم أهدافاً سهلة للاستمالة؛ ونادراً ما تُدرج أنظمة الدفاع الأمني في المؤسسات الإضافات ضمن نطاق المراقبة.

يتوافق هذا الاتجاه مع موجة أوسع من هجمات سلسلة التوريد. فمن SolarWinds إلى إضافات Chrome اليوم، يميل المهاجمون بشكل متزايد إلى استهداف الحلقات الأكثر ثقة في سلسلة توريد البرمجيات، لتحقيق أقصى عائد بأقل تكلفة. ومع تسارع المؤسسات في اعتماد حلول SaaS ومعمارية الثقة الصفرية (Zero Trust)، أصبح المتصفح أداة العمل الرئيسية بحكم الأمر الواقع، وسيصبح بالتأكيد ساحة المعركة الرئيسية التي يتنافس عليها المهاجمون. ومن المتوقع أن تصبح هجمات سلسلة التوريد الموجهة ضد الإضافات أكثر تواتراً وأكثر دقة.

توصيات الدفاع والاستجابة

في مواجهة هذا التهديد الجديد، تحتاج المؤسسات إلى دمج إضافات المتصفح ضمن إطار حوكمة الأمن الشامل، واتخاذ الإجراءات التالية:

• إنشاء قائمة سماح: من خلال نهج المجموعة (Group Policy) أو إدارة الأجهزة المحمولة (MDM)، يُسمح فقط بتثبيت الإضافات المعتمدة من فريق الأمن، مع منع أي تثبيت غير مصرح به.
• مراجعة الإضافات بانتظام: فحص قوائم الإضافات في متصفحات الموظفين بشكل دوري، مع الانتباه إلى سجلات تغيير ملكية الإضافات، وتكرار التحديثات، وما إذا كانت الأذونات المطلوبة تتجاوز حاجة العمل، وإزالة الإضافات المشبوهة أو الزائدة عن الحاجة في الوقت المناسب.
• استخدام أدوات أمان المتصفح: نشر حلول أمان مخصصة للمتصفح لمراقبة سلوك الإضافات في الوقت الفعلي، مثل نقل البيانات غير الطبيعي، والوصول إلى النطاقات، وتنفيذ JavaScript، وربطها بمنصة إدارة الأحداث في مركز عمليات الأمن (SOC).
• التحكم بالحد الأدنى من الامتيازات: اشتراط أن تطلب الإضافات فقط الحد الأدنى من الأذونات الضرورية لوظائفها، ومنع الإضافات من الوصول إلى البيانات غير المرتبطة بالعمل، مثل ملفات تعريف الارتباط (cookies) وسجل التصفح.
• تعزيز دفاعات نقاط النهاية: نشر منتجات EDR/XDR التي تدعم مراقبة أحداث المتصفح على نقاط النهاية، وربط سلوك الإضافات بأنظمة تحليل سلوك المستخدمين والكيانات (UEBA).
• وضع خطة طوارئ: إضافة سيناريو الباب الخلفي عبر الإضافات إلى خطة الاستجابة للحوادث، بما في ذلك خطوات العزل السريع للأجهزة، وإبطال الجلسات المتأثرة، والتراجع عن إصدارات الإضافات.
• إجراء تدريب على الوعي الأمني: شرح مخاطر إضافات المتصفح للموظفين، وتشجيعهم على طلب الأدوات من خلال القنوات الرسمية للمؤسسة بدلاً من تنزيلها بأنفسهم.

SecurityPost Insightحادثة الباب الخلفي في إضافات متصفح كروم هي إشارة مهمة على مستوى القطاع: أمن سلسلة التوريد قد تسلل إلى المجال الناشئ لإضافات المتصفح. الأهمية الجوهرية لهذه الحادثة تكمن في أنه حتى الأداة التي تحظى بثقة واسعة قد تتحول في لحظة إلى نقطة انطلاق للهجمات بسبب تغيير خفي في الملكية. بالنسبة لأمن المؤسسات، الدرس المستفاد هو عدم الاعتماد فقط على مراجعة متجر التطبيقات، وعدم النظر إلى المتصفح باعتباره خارج حدود الأمن. في المستقبل، ستصبح مراجعة أمن إضافات المتصفح، وشفافية تغيير الملكية، ومراقبة السلوك الديناميكي أكثر أهمية. يجب على المؤسسات تبنّي مفهوم الثقة الصفرية، والتعامل مع الإضافات باعتبارها مكونات قد تتعرض للاختراق، وبناء أنظمة أمنية قادرة على المراقبة المستمرة والاستجابة للتهديدات. هذه الحادثة ليست مجرد إعادة ظهور لهجوم، بل هي تذكير لكبار مسؤولي الأمن المعلوماتي (CISO) بإعادة التفكير في تعريف "البرمجيات الموثوقة".