من اجمل الأستراتيجيات الهجومية اللي بيتم تنفيذها اللي بتكون من خلال استغلال ان المستخدم بينزل الأضافات على الـ Browser زي Chrome و Edge و Firefox وتفضل مستمر لأكثر من 6 شهور وشغاله من غير ما يكون في رده فعل
التكنيك ده انا عايز أوضحه، وتشاركوا رأيكوا منها الكل يستفاد ازاي ده بيحصل:
الأول المهاجم بيستخدم أستراتيجية أسمها Delayed Execution او الـ Time-Bomb، اللي بيحصل ان الأضافه بتنزل بكود نظيف جداً مفيش فيه أي مشكلة وبيتم مقارنته بمعايير المتاجر علشان يتجاوز بيئه الأختبار اللي هي "Sandbox" ولما المراجعة بتخلص بتكون الأضافة جاهزة للأستخدام
لما يجي المستخدم يثبت الأضافة على جهازه بيحصل أستداعاء لـ Payload من خلال سيرفرات C2 Server وفي حالات ثانيه بيحصل فيها تفعل لـ Obfuscated Code وبيكون مضمن بطريقة علشان مش يظهر في علميات الفحصل للأضافة
وبعدها بينتقل لمرحله استغلال البيئه اللي بيستخدمها المتصفح و الـ DOM Injection، وهنا يبدأ الشغل، لما الأضافة بتاخد صلاحية الوصول لكل الـ Url بتكسب القدره انها تقرأ وتعديل الـ Document Object Model (DOM) لكل صفحة بيفتحها المستخدم، ومن هنا بيبدأ تنفيذ الـ Clipboard Hijcaking ، يعني ايه ؟
يعني هي بتراقب كل الـ Copy و الـ Past في الـ Memory واول ما الـ regex يكتشف نص بتنسيق عنوان محفظة الـ Crypto، بيستبدله فورأ بعنوان المهاجم من غير ما يلاحظ المستخدم، ومن ضمن عمله هو أضافة سريان محاولات Inject علشان يسحب الـ Session Cookies
وهنا نسأل سؤال ليه النوع ده من الهجمات مركز على الـ Browser ومش معتمد على ملف تنفيذي على النظام ؟
السبب في كده في ان استراتيجية بيئه عمل الكريبتو قائمه على أساس اضافات المتصفح زي Phantom وان يكون متواجد في نفس الـ Browser Process بيدي للمهاجم ميزة التخفي والوصول المباشر لنفس سياق العمليات، وده بيتكامل مع نفس المعضله اللي هي "معضله الثقة الأيجابية" وده بيميل ليه المستخدم افتراضياً علشان يصدق أي تطبيق ثاني موجود على Google او Microsoft، وده تطبيق آمن بنسبه 100% والنتيجة هي التقليل من الـ Security Awareness وياخد بسببها صلاحيات موسعة
فلو مثلاً جيت قولتلك انك تمسح اي اضافة غير معروفه مش هيكون كفايه ليك، ومش هيكون كفايه ليك كمان تكون محمي من النوع ده من الهجمات، طيب ايه الحل ؟
الحل انك تبني مفهوم الـ Browser Isolation، انك تخصص بروفايل او المتصفح الخاص بالمعمالات المالية او حتى لو بتستخدم كريبتو علشان يكون خالي من أي أضافات، وبالتوازي لو بتتعامل بالعملات الرقمية تستخدم حاجة اسمها Hardware Wallet وهو ضروره قصوى ليك لأنها بتنقل من عمليه التوقيع والتحقيق من عنوان المحفظة خارج بيئه المتصفح و النظام الخاص بيك الى شاشه الجهاز الفعلي، والنتيجة هي ابطال تام من مفعول التلاعب لـ Dom او الـ Cllpboard حتى لو كانت الأضافة خبيثة شغاله على الجهاز فعلاً
اتمنى يكون توضيحي للهجوم عجبكم، وياريت تشاركني رأيك
3
1
1August 28, 2026 274 1