رسميًا.. كاسبرسكي وBI.ZONE يرصدان نشاطًا متزايدًا لبرمجية PipeMagic الخبيثة في الخليج هذا الأسبوع

اكتشفت كاسبرسكي وBI.ZONE نشاطاً جديداً لبرمجية PipeMagic الخبيثة في منطقة الخليج، حيث عادت هذه البرمجية التي ظهرت لأول مرة في 2022 لتظهر مجدداً في 2025 مع تطورات جديدة في استراتيجيات الهجوم والتقنيات المستخدمة.

تفاصيل هجمات برمجية PipeMagic في منطقة الخليج والتوسع العالمي

شهدت هجمات برمجية PipeMagic توسعاً ملحوظاً، إذ رُصدت بدايةً في آسيا ثم انتقلت إلى المملكة العربية السعودية في أواخر 2024، مما يشير إلى تركيز خاص على المؤسسات السعودية. أما في 2025، فقد تم رصد نشاطها في شركات التصنيع بالبرازيل، مما يدل على اتساع رقعة استهداف هذه البرمجية الخبيثة لمناطق متعددة حول العالم، مع استمرار تطورها في تجاوز الحواجز الجغرافية.

ثغرة CVE-2025-29824 وتأثيرها في هجمات PipeMagic الجديدة

ركز الباحثون على تحليل التقنية التي تعتمد عليها برمجية PipeMagic، ووجدوا أن ثغرة مايكروسوفت CVE-2025-29824 كانت العامل الأساسي في معظم الهجمات السيبرانية التي حدثت في أبريل 2025، فرغم وجود 121 ثغرة في ذلك الوقت لم تُستخدم غير هذه بشكل واسع ضمن سلسلة إصابة PipeMagic. استُهدفت هذه الثغرة المسجلة في مشغل سجل ملفات النظام clfs.sys، ما يسمح بتصعيد الصلاحيات على نظام التشغيل، كما استُغلت آلية ملف فهرس المساعدة من مايكروسوفت لتنفيذ شفرة خبيثة مشفرة باستخدام خوارزمية RC4، ثم تم تنفيذها عبر دالة EnumDisplayMonitorsWinAPI لحقن واجهات برمجة التطبيقات في النظام.

التطور الحديث في برمجية PipeMagic الخبيثة وطرق مواجهة الهجمات

كشف الباحثون عن نسخة جديدة من أداة تحميل برمجية PipeMagic، على شكل تطبيق مزيف يشبه ChatGPT، مما يبرز التطور الكبير في تقنيات التمويه التي يستخدمها المهاجمون. وتعتمد النسخة الجديدة على إطاري العمل Tokio وTauri، مع استخدام مكتبة libaes المشابهة للإصدار السابق في 2024، مع إمكانيات متقدمة لتعزيز البقاء والتنقل داخل الشبكات المستهدفة. ويشير خبراء أمنيون إلى أن استهداف ملف clfs.sys والاعتماد على ثغرات اليوم الصفري أصبحت منهجية واضحة للمهاجمين، لذا يُوصى باستخدام أدوات اكتشاف واستجابة متقدمة للنقاط الطرفية (EDR) لرصد الأنشطة المشبوهة وتقليل فرص الاستغلال.

يُذكر أن برمجية PipeMagic تُعرف كباب خلفي خبيث يوفر للمهاجمين وصولاً مكتملاً إلى الأنظمة المستهدفة، إما كأداة وصول عن بعد أو كوكيل شبكة يُمكن من تنفيذ أوامر متعددة، مع تاريخ سابق في استهداف شركات صناعية في جنوب شرق آسيا باستخدام ثغرة CVE-2017-0144. وتستمر التهديدات المتصلة بهذه البرمجية في التطور مما يتطلب يقظة أمنية مستمرة لمواجهة تحركات المهاجمين في بيئة تعتمد على تحديثات أمنية مستمرة وتقنيات كشف متقدمة.