معبّأ ومُحمّل: محرّك pkr_mtsi المراوغ وراء موجة جديدة من هجمات برمجيات ويندوز الخبيثة

في صباح هادئ من أبريل 2025، عثر باحثو الأمن السيبراني على حرباء رقمية - مُغلِّف ويندوز متواضع المظهر يحمل اسمًا غامضًا: pkr_mtsi. ومنذ ذلك الحين، غذّت هذه الأداة المتحوّلة واحدة من أكثر موجات الإعلانات الخبيثة غزارة في الذاكرة الحديثة، إذ تُغلّف البرمجيات الخبيثة خلسةً بجلد برمجيات موثوقة. بصماتها باتت في كل مكان: من نتائج بحث مسمومة تستدرج المستخدمين إلى تنزيلات مزيفة، إلى حيل تقنية معقدة تُبقي حتى المدافعين المخضرمين في حيرة. ويبقى السؤال: كيف أصبح pkr_mtsi محرّك تسليم البرمجيات الخبيثة المفضّل في عالم الجريمة، وما الذي يمكن فعله لإيقافه؟

تشريح آلة حديثة لتسليم البرمجيات الخبيثة

في جوهره، pkr_mtsi مُحمِّل عام الغرض - قطعة برمجية تتمثل مهمتها الوحيدة في تهريب برامج أخرى أكثر خطورة إلى حاسوب الضحية. وعلى خلاف الأغلفة البسيطة التي لا تُسلّم سوى حمولة واحدة، فإن pkr_mtsi معياري: يمكنه تسليم قائمة متبدلة من البرمجيات الخبيثة، من سارقي بيانات الاعتماد مثل Vidar وOyster إلى أدوات الوصول عن بُعد مثل Vanguard Stealer وSupper. هذه المرونة جعلته مفضّلًا لدى مجموعات الجريمة السيبرانية، إذ يمكنهم بسهولة تبديل الحمولات لتناسب أحدث مخططاتهم.

الحملات التي تسيء استخدام pkr_mtsi بسيطة على نحو خبيث. ينشئ المهاجمون صفحات تنزيل مزيفة مقنعة لأدوات واسعة الاستخدام. وتُدفَع هذه المواقع إلى صدارة نتائج البحث عبر تسميم SEO العدواني والإعلانات المدفوعة. يقوم المستخدمون غير المرتابين بتنزيل ما يبدو أنه مُثبّت شرعي - ليُطلقوا دون قصد pkr_mtsi وحمولته المخفية.

خفة يد تقنية

ما يميز pkr_mtsi هو تطوره المستمر في التعقيد التقني. كانت الإصدارات المبكرة تستخدم وظائف تخصيص ذاكرة ويندوز بشكل مباشر، لكن البُنى الأحدث باتت تُموّه هذه الاستدعاءات، وتدفنها تحت طبقات من الشيفرة الحشو وتعليمات مضللة. يبدأ كل تشغيل بوابل كثيف من عمليات الكتابة إلى الذاكرة - قطع صغيرة من الشيفرة تُخاط معًا بطريقة تربك أدوات مكافحة الفيروسات التقليدية.

ولإحباط التحليل، يزيل pkr_mtsi علامات الملفات الدالة ويستخدم تكتيكات مضادة للتصحيح، مثل التحقق من أدوات التحليل الجنائي والتسبب عمدًا في التعطل أو الدخول في حلقات إذا تم اكتشاف إحداها. بل إنه يُدخل أخطاء برمجية متعمدة - مثل طلبات حماية ذاكرة غير صالحة - لإنشاء بصمات سلوكية فريدة، والتي قد تساعد، على نحو ساخر، المدافعين على رصده أثناء العمل.

دليل دفاعي: أمل وسط التعقيد

على الرغم من تعقيده، فإن pkr_mtsi ليس غير مرئي. طوّر الباحثون قواعد قائمة على التواقيع وأخرى سلوكية يمكنها تمييز أنماط تخصيص الذاكرة والكتابة الدالة عليه. ويُحثّ فرق الأمن على التركيز على هذه السلوكيات الحتمية بدل الاعتماد فقط على التواقيع الثابتة، التي يستطيع المُغلِّف تفاديها بسهولة. كما أن الإلمام بمساراته المعتمدة على DLL وحيل التنفيذ عبر regsvr32 يمكن أن يسرّع الاستجابة للحوادث واحتواءها.

ومع استمرار ملحمة pkr_mtsi، يقدّم تطوره المتواصل تذكيرًا صارخًا: في سباق التسلح بين مؤلفي البرمجيات الخبيثة والمدافعين، القدرة على التكيف هي كل شيء. لكن مع اليقظة والتعاون والتركيز على الكشف السلوكي، قد يميل ميزان القوة مجددًا لصالح الأخيار.

WIKICROOK

• Packer: المُغلِّف هو برنامج يضغط الملفات أو يشفّرها، وغالبًا ما يُستخدم لإخفاء البرمجيات الخبيثة داخل ملفات تبدو غير ضارة لتفادي اكتشافها أمنيًا.
• Malvertising: الإعلانات الخبيثة هي استخدام الإعلانات عبر الإنترنت لنشر البرمجيات الخبيثة، غالبًا عبر خداع المستخدمين للنقر على روابط ضارة - حتى على مواقع موثوقة.
• SEO Poisoning: تسميم SEO هو عندما يتلاعب المهاجمون بنتائج البحث للترويج لمواقع خبيثة، مخادعين المستخدمين لزيارة صفحات ضارة أو احتيالية.
• Loader: المُحمِّل هو برمجية خبيثة تُثبّت أو تُشغّل برمجيات خبيثة أخرى على نظام مُصاب، مما يتيح هجمات سيبرانية لاحقة أو وصولًا غير مصرح به.
• YARA Rule: قواعد YARA هي أنماط قابلة للتخصيص تُستخدم لاكتشاف البرمجيات الخبيثة وتصنيفها، وتساعد خبراء الأمن السيبراني على تحديد التهديدات بناءً على تواقيع الشيفرة أو السلوك.