ما هو Lumma Stealer؟
Lumma Stealer هو حصان طروادة خبيث متخصص في سرقة المعلومات، يُباع ويُشترى عبر منتديات القرصنة كخدمة (Malware-as-a-Service). يستهدف أنظمة ويندوز بشكل أساسي، ويجمع بيانات الاعتماد المخزنة في المتصفحات، ومحافظ العملات الرقمية، وتطبيقات المصادقة الثنائية، وسجلات ضغطات لوحة المفاتيح، ثم يرسلها إلى خوادم يتحكم بها المهاجمون.
الوصف التقني وآلية العمل
يتميز Lumma Stealer ببنية معيارية خفيفة تجعله صعب الرصد والتقاط. عند الإصابة، يعمل على عدة مراحل:
- الحمولة الأولية: تصل عادة كملف تنفيذي صغير الحجم أو سكربت PowerShell، وتقوم بفك تشفير الحمولة الرئيسية في الذاكرة دون الكتابة إلى القرص.
- تسجيل ضغطات لوحة المفاتيح (Keylogging): يلتقط كل ما يكتبه الضحية، بما في ذلك كلمات المرور وأرقام البطاقات البنكية وعبارات الاسترداد.
- سرقة بيانات المتصفحات: يستهدف Chrome وFirefox وEdge وOpera، ويستخرج ملفات تعريف الارتباط وكلمات المرور المحفوظة وتواريخ التصفح ومفاتيح التشفير.
- سرقة المحافظ الرقمية: يفحص النظام بحثاً عن محافظ مثل MetaMask وTrust Wallet وExodus، ويستخرج المفاتيح الخاصة والعبارات السرية.
- اعتراض الحافظة (Clipboard Hijacking): يراقب الحافظة باستمرار، وعند نسخ عنوان محفظة رقمية يستبدله بعنوان يملكه المهاجم.
- سرقة ملفات 2FA: يلتقط الرموز المؤقتة من تطبيقات مثل Google Authenticator أو ملحقات المتصفح.
- الاتصال بخادم القيادة: ينقل البيانات المسروقة عبر قنوات مشفرة باستخدام Telegram Bot API أو منصات أخرى، مما يصعب تتبعه.
طرق الانتشار في الجزائر
رصدت جهات أمنية محلية وعالمية حملات نشطة لـ Lumma Stealer في الجزائر خلال 2025، وتتنوع أساليبها لتناسب المستخدمين:
- رسائل التصيد باللغة العربية: إيميلات مزيفة تحمل شعارات مؤسسات رسمية جزائرية مثل سونلغاز وبريد الجزائر والبنوك المحلية، وتطلب تحديث البيانات أو دفع فاتورة.
- روابط واتساب وتيليجرام: رسائل تنتشر بين المستخدمين تدّعي وجود تحديثات أمنية أو جوائز مالية أو مقاطع فيديو حصرية.
- البرامج المقرصنة: تحميل برامج مدفوعة مثل برامج المحاسبة أو التصميم من مواقع غير رسمية، حيث يتم حقن الحصان داخل ملفات التثبيت.
- إعلانات مضللة (Malvertising): إعلانات على محركات البحث تظهر عند البحث عن خدمات حكومية أو تطبيقات مصرفية، وتوجه المستخدم إلى صفحات مصابة.
تقنيات التخفي وتجاوز الحماية
يعتمد Lumma Stealer على عدة تقنيات لتجنب اكتشافه من قبل برامج الحماية التقليدية:
- التشفير متعدد الطبقات: يتم تشفير الحمولة بعدة خوارزميات وتفكيكها في الذاكرة فقط، مما يجعل فحص الملف الثابت غير كافٍ.
- تقنية Process Hollowing: يستخدم عمليات نظام شرعية مثل
explorer.exeأوsvchost.exeلحقن الشيفرة الخبيثة داخلها. - تغيير التوقيعات تلقائياً: يتم إعادة تجميع العينة بشكل مستمر لإنتاج توقيعات جديدة لا تتعرف عليها قواعد البيانات التقليدية.
- كشف بيئات التحليل: يتحقق من وجود أدوات تحليل أو أجهزة افتراضية، فإذا اكتشفها يوقف عمله فوراً.
المخاطر والأضرار
لا يقتصر ضرر Lumma Stealer على سرقة كلمة مرور واحدة، بل يمكن أن يؤدي إلى:
- سرقة الأموال مباشرة: من خلال الدخول إلى الحسابات البنكية أو تحويل الأرصدة من المحافظ الرقمية.
- اختراق البريد الإلكتروني: مما يسمح للمهاجم بإعادة تعيين كلمات مرور حسابات أخرى مرتبطة به.
- انتحال الشخصية: استخدام البيانات المسروقة في عمليات احتيال ضد معارف الضحية أو جهات العمل.
- بيع البيانات في الأسواق السوداء: تُباع السجلات المسروقة في منتديات القرصنة، مما يعرض الضحية لهجمات مستقبلية.
علامات الإصابة المحتملة
يجب الانتباه إلى المؤشرات التالية التي قد تدل على وجود Lumma Stealer:
- بطء ملحوظ في أداء الجهاز رغم عدم تشغيل برامج كثيرة.
- استهلاك غير طبيعي لبيانات الإنترنت في الخلفية.
- تغيير إعدادات المتصفح أو ظهور إضافات غير معروفة.
- رسائل دخول غير معروفة إلى حساباتك أو إشعارات أمان من البريد الإلكتروني.
- ملفات تختفي أو تظهر تلقائياً في المجلدات.
الوقاية والحماية مع مظلة (MidallaCore)
لمواجهة تهديدات Lumma Stealer وأمثالها، توفر مظلة MidallaCore حماية متعددة الطبقات:
- تثبيت MidallaCore Antivirus وتحديثه باستمرار، حيث يملك محركاً سلوكياً قادراً على كشف نشاط Lumma Stealer حتى قبل تحديث قواعد البيانات.
- الحماية من التصيد: فلترة الروابط والرسائل الواردة عبر البريد الإلكتروني ومنصات المراسلة.
- عدم تحميل البرامج إلا من المواقع الرسمية أو متاجر التطبيقات الموثوقة.
- تفعيل المصادقة الثنائية (2FA) على جميع الحسابات الحساسة، مع تجنب استخدام تطبيقات 2FA على نفس الجهاز.
- عمل نسخ احتياطي دوري للبيانات الهامة على أقراص خارجية غير متصلة بالشبكة.
الخلاصة
يُعد Lumma Stealer من أخطر البرمجيات الخبيثة التي واجهها المستخدمون في الجزائر خلال عام 2025، نظراً لقدرته على سرقة البيانات المالية والشخصية بهدوء وفعالية. الوعي الأمني والحماية الاستباقية هما خط الدفاع الأول ضد هذا التهديد المتطور.