كشف تقرير أمني نشرته شركة سيكويا الفرنسية 2026، أمس الأربعاء، عن حملة تجسس إلكتروني استهدفت هواتف آيفون وأندرويد عبر مواقع مخترقة وأخرى تنتحل صفة مواقع معروفة. واستغل المهاجمون ثغرات سبق إصلاحها، ما جعل الأجهزة غير المحدّثة عرضة لمحاولات سرقة بيانات المتصفح، وفي بعض الحالات الرسائل وكلمات المرور والصور.
حسب باحثي سيكويا، يمكن أن تبدأ المحاولة بمجرد فتح صفحة مصابة دون الضغط على رابط إضافي أو تثبيت تطبيق. فتحدد شفرة خبيثة نظام الهاتف والمتصفح، ثم تقدم أدوات لاستغلال ثغرات الإصدار.
ورصدت سيكويا العملية في منتصف أكتوبر/تشرين الأول الماضي، وأطلقت عليها اسم "المصدر المسموم". واستخدم المهاجمون ثلاث طرق لنشر الشفرة الخبيثة، شملت اختراق مواقع حقيقية، وإنشاء نسخ مقلدة تعرض محتوى المواقع الأصلية، والتلاعب بخدمة خارجية تستخدمها مواقع عديدة لتحليل زيارات المستخدمين. وقد يعرّض الأسلوب الأخير زوار مواقع سليمة للخطر.
وذكرت بليبينج كمبيوتر أن المهاجمين عدّلوا أداة تتبع تابعة لخدمة التحليلات الأوكرانية Plerdy بين 27 أغسطس/آب و3 سبتمبر/أيلول. وكانت الأداة تُحمَّل على آلاف المواقع، أغلبها في أوكرانيا.
واكتشف الباحثون مسارًا يستهدف أجهزة آيفون بإصدار iOS 16.7 للحصول على ملفات "كوكيز" التي تحفظ معلومات جلسات تسجيل الدخول. وقد تتيح للمهاجم استعمال جلسة مفتوحة للوصول إلى الحسابات دون كلمة المرور. وفي مسار آخر لاستهداف iOS 18.5، فاستخدم أداة تسمى DarkSword للوصول إلى نطاق أوسع من البيانات.
وشملت البيانات التي حاول المسار الثاني جمعها رسائل SMS وiMessage، وقواعد بيانات واتساب وتليجرام، وكلمات مرور محفوظة وجهات اتصال وسجل مكالمات وصور ومعلومات موقع.
وعلى أجهزة أندرويد، استهدفت الحملة إصدارات محددة من متصفح كروم لجمع سجل التصفح وبيانات تسجيل الدخول وكلمات مرور شبكات الواي فاي المخزنة.
ومن بين الصفحات المستخدمة مواقع أصلية تابعة لشركة أوكرانية منتجة للغاز وجهة مرتبطة بالصناعات الكيميائية الأمريكية، فضلًا عن نسخ مزيفة لموقع احتفالات أمريكية وفندق معروف في لندن. وأشارت "أرس تكنيكا" إلى احتمال استهداف زوار ذوي أهمية دبلوماسية، لكن هويات المتضررين ومدى نجاح الهجمات لم يُحسما.
ورجّح باحثو سيكويا، بدرجة ثقة وصفوها بأنها متوسطة إلى مرتفعة، ارتباط العملية بمجموعة APT29 المنسوبة على نطاق واسع إلى جهاز الاستخبارات الخارجية الروسي. واستند التقييم إلى تشابه تقني وعمليات سابقة وطبيعة المواقع المستهدفة، وهو تقدير بحثي لا يرقى وحده إلى إثبات قاطع لهوية المنفذين.
يُذكر أن التقرير أكد أن الثغرات التي استخدمتها المسارات الثلاثة كانت معروفة وأُصلحت قبل بدء هذه الحملة. لذلك تمثل تحديثات نظام الهاتف والمتصفح وسيلة الحماية الأساسية من الهجمات التي جرى تحليلها. كما لم يعثر الباحثون على برمجيات تظل مقيمة في الأجهزة بعد إعادة تشغيلها، وإن كان إيقاف الشفرة لا يستعيد بيانات ربما سُرقت بالفعل.
