أدت عملية منسقة لإنفاذ القانون، بالشراكة مع شركات القطاع الخاص، بما في ذلك Bitdefender وBitsight وESET وMicrosoft، إلى إزالة البنية التحتية الإجرامية التي تدعم Amadey وStealC.
وقالت يوروبول في بيان: “كان الهدف الرئيسي المشترك هو تعطيل خطوط التجميع التي يستخدمها مجرمو الإنترنت لإطلاق برامج الفدية والاحتيال المالي والهجمات على البنية التحتية الحيوية”.
ويأتي هذا التطوير بعد أيام من قيام السلطات في هولندا وكندا وألمانيا والولايات المتحدة بتعطيل البنية التحتية الضارة المرتبطة بـ SocGholish وتنظيف ما يقرب من 15000 موقع WordPress مصاب.
وكجزء من الإجراء الذي يستمر لمدة أسبوعين، تم تحديد أصول العملات المشفرة ذات الأصل الإجرامي والتي تقدر قيمتها بأكثر من 47 مليون دولار أمريكي، ووضع علامة عليها وتقييد استخدامها. بالإضافة إلى ذلك، تم استرداد ما يصل إلى 27 مليونًا من بيانات اعتماد تسجيل الدخول المسروقة، وتمت إعاقة شبكة توزيع البرامج الضارة من خلال تفكيك 326 خادمًا و142 نطاقًا.
وقال أليكس كوسوي، كبير الاستراتيجيين الأمنيين في Bitdefender، في بيان: “إن عملية الإزالة هذه هي دليل قوي على ما يمكن أن يحققه التعاون بين القطاعين العام والخاص في تفكيك البنية التحتية التي تمكن الجرائم الإلكترونية على نطاق واسع”. “كما أنها تبعث برسالة واضحة إلى أولئك الذين يقفون وراء الأنظمة البيئية للبرمجيات الخبيثة: بغض النظر عن مدى تعقيد الأدوات أو مدى توزيع الشبكة، فإن العمل الدولي المنسق سوف يجدها.”
ومن المعروف أنه يتم الإعلان عن جميع عائلات البرمجيات الخبيثة الثلاث ضمن نموذج البرمجيات الخبيثة كخدمة (MaaS)، مما يسمح للعملاء بتقديم حمولات إضافية أو سرقة معلومات حساسة من المضيفين المخترقين.
تعمل SocGholish وAmadey كأداة تحميل لإدخال البرامج الضارة في المرحلة التالية، حيث يتم نشر البرامج الضارة بشكل أساسي باستخدام مواقع WordPress المخترقة وحملات التصيد الاحتيالي، على التوالي. تم أيضًا نشر Amadey عبر أدوات تحميل أخرى مثل Emmenhtal وSmokeLoader.
وهو باب خلفي معياري قائم على لغة C++، ومن المعروف أنه نشط منذ أكتوبر 2018 ويتم الإعلان عنه من قبل جهة تهديد تعرف باسم InCrease. يبلغ سعر الخدمة 600 دولار للترخيص الواحد، مع 50 دولارًا إضافيًا يتم تحصيلها لكل عملية إعادة بناء. أحدث إصدار من أمادي هو 5.87. بعض الأوامر المدعومة مذكورة أدناه –
- بصمة الآلة
- تنزيل الملفات أو ملفات DLL أو MSI أو البرامج النصية PowerShell
- تشغيل الأوامر باستخدام “cmd.exe”
- التقط لقطات شاشة
- تفرخ وكيل SOCKS
- افتح VNC أو جلسة الوكيل العكسي
- التقاط محتويات الحافظة وبيانات الاعتماد
- تمكين برنامج RDP
وفقًا للبيانات التي نشرتها شركة Mitsui Bussan Secure Directions، تراوح العدد اليومي لخوادم Amadey النشطة للقيادة والتحكم (C2 أو C&C) تقريبًا بين اثنين و18 حتى سبتمبر 2022 تقريبًا.
وقالت شركة الأمن السيبراني اليابانية: “من يناير 2023 إلى أوائل ديسمبر 2023، ارتفع هذا الرقم إلى ما بين 5 و30، مما يشير إلى أن أمادي قد أصبح قيد الاستخدام على نطاق واسع”. “في عام 2024، بعد فترة سكون قصيرة، انخفض العدد اليومي تدريجياً من ذروة بلغت 17 واستمر في الانخفاض حتى يومنا هذا.”
يقال إن عدد عينات البرامج الضارة الموزعة عبر Amadey قد ارتفع إلى 11635 في عام 2025، ارتفاعًا من 66 في عام 2019، و260 في عام 2020، و1231 في عام 2021، و3500 في عام 2022، و8360 في عام 2023، و7619 في عام 2024. ومنذ بداية العام، تم توزيع 1,837 حمولة من خلال أداة تحميل البرامج الضارة.
 |
| تم إسقاط البرامج الضارة بواسطة Amadey في عامي 2025 و2026 وStealC في عام 2026 |
من ناحية أخرى، استفادت StealC من ناقلات الوصول الأولية المختلفة التي تتراوح بين أدوات تحميل البرامج الضارة (بما في ذلك Amadey) وإغراءات ClickFix، وهي مجهزة لاستخراج المعلومات الحساسة، مثل لقطات الشاشة وبيانات الاعتماد وملفات تعريف الارتباط للجلسة وإدخالات الملء التلقائي وبيانات بطاقة الائتمان وسجل التصفح وبيانات الامتداد.
ظهرت البرامج الضارة لأول مرة في يناير 2023 وتم بيعها مقابل 300 دولار شهريًا (أو 1000 دولار لمدة ستة أشهر) من قبل جهة تهديد تستخدم لقب “بليموث”. مثل Amadey، تمت صيانة StealC بشكل نشط من قبل مشغليها. اعتبارًا من يونيو 2026، أحدث إصدار من أداة السرقة هو 2.2.1. تم الإبلاغ عن أعلى تركيزات العدوى في الولايات المتحدة وبولندا وإيطاليا.
إلى جانب استهداف متصفحات Chromium، تقوم البرامج الضارة بجمع البيانات من تطبيقات سطح المكتب مثل Discord وFileZilla وFoxmail وMicrosoft Outlook وSteam وTelegram، بالإضافة إلى الملفات التي تطابق أنماط تسمية معينة. ويعمل أيضًا كمحمل ثانوي، قادر على تنزيل وتنفيذ حمولات EXE أو MSI أو PowerShell بناءً على أوامر من خادم خارجي.
أحد الجوانب البارزة في برنامج السرقة، المكتوب بلغة C++، هو قدرته على الاستعلام عن اللغة الافتراضية للنظام وإنهاء نفسه إذا كانت اللغة تتطابق مع دول مثل روسيا أو أوكرانيا أو بيلاروسيا أو كازاخستان أو أوزبكستان. يتميز Amadey أيضًا بفحص مماثل لتخطي وظائف معينة مثل سرقة بيانات الاعتماد وسرقة الحافظة عند التشغيل على مضيف روسي أو أوكراني أو بيلاروسي.
 |
| ممثل لسرقة المعلومات لسلسلة هجمات برامج الفدية |
في وقت سابق من شهر يناير، كشفت CyberArk عن ثغرة أمنية في البرمجة النصية عبر المواقع (XSS) في لوحة التحكم المستندة إلى الويب من قبل مشغلي StealC والتي أتاحت الحصول على رؤى حول عملية MaaS، بما في ذلك أحد عملائها المسمى YouTubeTA، الذي اعتمد على منصة مشاركة الفيديو من Google لتوزيع السرقة عن طريق الإعلان عن إصدارات متشققة من Adobe Photoshop وAdobe After Effects.
لاحظت IBM X-Force وProofpoint أيضًا أنه تم تحديد العديد من العيوب الأمنية في لوحة C2، وكان أحدها خطأ في اجتياز الدليل الذي جعل من الممكن تحميل غلاف الويب إلى خادم StealC C2. تم تصحيح المشكلة من قبل مطوري StealC في فبراير 2026، ولكن ليس قبل أن يتم استغلالها على الأرجح من قبل إحدى الشركات التابعة لسرقة البيانات من الشركات التابعة الأخرى.
وقال جاكوب تومانيك وتوماس بروتشازكا، الباحثان في شركة ESET: “في كلا النظامين البيئيين، تتلقى الشركات التابعة لوحة إدارة ذاتية الاستضافة والتي يجب نشرها على البنية التحتية للخادم الخاصة بها”. “استخدمت Amadey نموذج الدفع لكل إعادة بناء. قامت الشركات التابعة بشراء ترخيص ثم دفع رسوم إضافية في كل مرة يحتاجون فيها إلى إنشاء إصدار جديد، على سبيل المثال، عند التدوير إلى خادم قيادة وإدارة تحكم جديد.”
“اتخذت StealC نهجًا أكثر ملاءمة للشركات التابعة، حيث قدمت إنشاءات غير محدودة كجزء من اشتراكها. وقد أدى ذلك إلى خفض التكلفة التشغيلية للبنية التحتية للتحكم والسيطرة الدورية وجعل من السهل على الشركات التابعة إنشاء عينات جديدة حسب الحاجة.”
يوجد إجمالي 53 مجموعة فريدة داخل نظام Amadey البيئي، مع أكبر مجموعة من الروبوتات التي توزع الحمولات مثل Lumma Stealer وVidar Stealer وStealC وRugmi وPureCrypter وAgent Tesla وRhadmanthys Stealer وRedLine Stealer وSmokeLoader وXWorm وAsyncRAT.
كشفت Microsoft أن Amadey وStealC لا يستخدمان نفس البنية التحتية فحسب، بل تم ربط عائلات البرامج الضارة بأكثر من 140 ألف جهاز كمبيوتر مصاب على مستوى العالم في الأسبوعين الأولين من مايو 2026. وقال عملاق التكنولوجيا إنه حدد أكثر من 18000 جهاز كمبيوتر ضحية وقطع السيطرة الجنائية على تلك الأجهزة.
بشكل عام، قالت شركة التكنولوجيا العملاقة إنها حددت 200 من نطاقات Amadey وStealC C2 وعناوين IP الضارة، والتي تم إغلاقها جميعًا منذ ذلك الحين باستخدام مجموعة من أوامر المحكمة ومصادرة النطاق والتسجيلات وإخطارات المزود.
 |
|
| الاتجاه اليومي في عدد خوادم Amadey C2 النشطة |
وقالت شركة Bitsight: “إن أدوات التحميل والسرقة هما نصفي خط أنابيب البرمجيات الخبيثة السلعية”. “يحصل المُحمل على موطئ قدم أول ويؤجره؛ ويستفيد السارق من موطئ القدم هذا لجمع بيانات الاعتماد وملفات تعريف الارتباط والمحافظ، ليتم بيعها بعد ذلك في المنتديات السرية (بما في ذلك Telegram).”
تمثل الجهود الأخيرة، التي جرت في الفترة ما بين 15 و19 يونيو 2026، أحدث فصل في عملية نهاية اللعبة. وشاركت فيها السلطات القضائية وجهات إنفاذ القانون من بلجيكا وكندا والدنمارك وفرنسا وألمانيا وهولندا والمملكة المتحدة والولايات المتحدة
وقال Eurojust: “تستهدف عملية Endgame البرامج الضارة للوصول الأولي المستخدمة لإصابة الأجهزة”. “يستخدم مجرمو الإنترنت هذه البرامج الضارة كبوابة للتسلل بصمت إلى أنظمة الضحايا وسرقة البيانات الحساسة. ومن خلال مكافحة المرحلة الأولية من سلسلة الهجوم، تضرب العملية قلب النظام البيئي “الجرائم الإلكترونية كخدمة” بأكمله.”
