استهداف باحثين أمنيين بمؤتمر عملات مشفرة مزيف عبر Google Docs

مقدمة تحليلية

في 20 أغسطس 2026، كشفت شركة الأمن السيبراني Huntress عن حملة استهداف مُحكمة ضد باحثين أمنيين، استغلّت مؤتمراً وهمياً للعملات المشفرة كطُعم أساسي. تزامن الهجوم مع انعقاد مؤتمري Black Hat و Def Con البارزين في وقت سابق من هذا الشهر، ما يشير إلى استهداف متعمد لأفراد يعملون في مجال الأمن السيبراني. استخدم المهاجم، الذي ادعى العمل لموقع إخباري رائد في مجال العملات المشفرة، منصة X (تويتر سابقاً) للتواصل الأولي، ثم انتقل إلى Google Docs لمحاولة خداع الضحايا لتثبيت برمجيات خبيثة تستهدف أنظمة macOS و Windows. اكتُشف هذا التكتيك بعد أن تظاهر أحد باحثي Huntress بالتعاون مع المهاجم لفهم آلية عمل الهجوم بالكامل، ما كشف عن مستوى جديد من الموثوقية في حملات التصيد الاحتيالي التي تستغل البنية التحتية لـ Google.

التحليل التقني

بدأ الهجوم بسلسلة من الاتصالات على منصة X، حيث قام المهاجم بالتواصل مع الباحثين الأمنيين المستهدفين عبر الردود العامة والرسائل المباشرة. كانت رسائل المهاجم مكتوبة بـ لغة إنجليزية ركيكة، واستفسر خلالها عما إذا كان الباحثون يخططون لحضور مؤتمرات قادمة، ثم ذكر مؤتمراً مزعوماً تنظمه إحدى المنصات الإخبارية للعملات المشفرة. بعد هذه المرحلة، شارك المهاجم مستند Google Doc شرعياً ظاهرياً، والذي بدت وكأنه وثيقة تخطيط للمؤتمر الوهمي.

الجانب التقني المحوري في هذا الهجوم هو استخدام المهاجم لميزة Google App Script. هذه المنصة تتيح للمطورين تخصيص واجهة المستخدم في Google Docs بإضافة قوائم وأشرطة جانبية. استغل المهاجم هذه القدرة لإنشاء شريط جانبي مزيف داخل مستند Google Doc، مصمماً ليُوحي للمستهدف بأنه نظام تشفير. الهدف الأولي كان خداع الضحية لإدخال مفتاح فك تشفير وهمي، يوفره المهاجم نفسه. كانت هذه الخطوة بمثابة المرحلة الأولى في عملية تؤدي إلى تثبيت البرمجيات الخبيثة. بناءً على نظام التشغيل الخاص بالهدف، سواء كان macOS أو Windows، كان المهاجم يحاول تثبيت برمجيات مختلفة:

• لأجهزة Apple (macOS): برنامج Infostealer، وهو نوع من البرمجيات الخبيثة المصممة لسرقة المعلومات.
• لأجهزة Windows: أداة عرض سطح مكتب عن بعد، تم إعادة توظيفها كبرمجيات خبيثة للتحكم عن بعد في الجهاز.
• لكلا النظامين: مثبت مزيف لمحفظة العملات المشفرة Ledger، مصمم لخداع المستخدمين لتنزيل برمجيات ضارة بدلاً من التطبيق الأصلي.

لم يستجب الشخص الذي يقف وراء حساب X الذي حدده باحثو Huntress، وهو @HartmansDoeke، لاستفسارات TechCrunch.

السياق وتأثير السوق

تاريخياً، كان استهداف المتخصصين في الأمن السيبراني تكتيكاً معروفاً للمتسللين، بدءاً من متسللين حكوميين مجهولين يستخدمون برامج تجسس متقدمة، وصولاً إلى متسللين تابعين لحكومة كوريا الشمالية الذين يعتمدون على ملفات تعريف مزيفة على Twitter. هذه الحالات السابقة رسخت فكرة أن محترفي الأمن هم أهداف ذات قيمة عالية. ما ميّز هذه الحملة الأخيرة وجعلها أكثر قابلية للتصديق هو استغلال مستند Google Doc شرعي تماماً وميزة Google App Script نفسها. في السابق، كانت محاولات التصيد الاحتيالي غالباً ما تعتمد على مرفقات البريد الإلكتروني أو مواقع الويب الخبيثة الواضحة.

هذه المنهجية الجديدة ترفع من مستوى التعقيد والمصداقية مقارنة بالطرق التقليدية التي كانت تعتمد على خداع المستخدمين بصفحات تسجيل دخول مزيفة أو تنزيل ملفات تنفيذية مشبوهة مباشرة. إن استخدام Google Doc كواجهة للهجوم، مع التلاعب بواجهة المستخدم باستخدام ميزات Google الأساسية، يستغل الثقة المتأصلة لدى المستخدمين في منصات مثل Google Workspace. هذا يمثل تحولاً عن معيار الأمس الذي كان يعتمد بشكل أكبر على الهندسة الاجتماعية الخارجية البحتة، إلى استغلال نقاط القوة والمرونة في أدوات الإنتاجية اليومية. الشركات التي تعتمد بشكل كبير على Google Workspace قد تجد نفسها في موقف يتطلب إعادة تقييم بروتوكولات الأمن الخاصة بها تجاه الاستخدامات غير المتوقعة للميزات الموثوقة. هذا التكتيك يجعل الكشف صعباً، حيث تبدو المستندات قادمة من مصدر موثوق به وتعمل ضمن بيئة مألوفة.

رؤية Glitch4Techs

هذه الحملة ليست اختراقاً تقنياً ذا تعقيد غير مسبوق، بل هي إعادة معايرة ناجحة لمكونات هجوم التصيد الاحتيالي الكلاسيكي. تظل الهندسة الاجتماعية أساس الهجوم، حيث يتم استغلال الثقة والعجلة. لكن النقطة المحورية هي الاستغلال الذكي لـ Google App Script، وهي ميزة مشروعة ضمن Google Docs، لخلق بيئة خداعية مقنعة. هذا ليس مجرد مستند يحتوي على روابط خبيثة؛ بل هو مستند يتميز بواجهة مستخدم مُعدّلة تُوحي بآليات أمنية زائفة، ما يرفع من مستوى المصداقية بشكل كبير. الحكم هنا قاطع: الهجوم يكشف عن ثغرة حرجة في الافتراضات الأمنية المحيطة بأدوات الإنتاجية السحابية الشائعة. الاعتماد على ميزة Google App Script لإنشاء واجهة مستخدم خبيثة ومقنعة هو تحدٍ أمني جديد. لا يتعلق الأمر بالتعليمات البرمجية الضارة، بل بكيفية إعادة توظيف الميزات الحميدة لمنصة موثوقة في سياق خبيث.