تقرير بحثي: تشريح «DuneStealer» — سارق معلومات يُباع بـ 200 دولار شهريًا ويستهدف المتصفحات العربية

1. المنهجية

جمعنا 41 عينة بين 20 يوليو و1 سبتمبر 2026 من مصادر مفتوحة ومن حادثتين استجاب لهما الفريق. حُلِّلت العينات ديناميكيًا في بيئة معزولة واستاتيكيًا بعد فك التعتيم. جميع الأرقام أدناه تعود إلى هذه العينة ولا تمثل الانتشار الكلي.

2. سلسلة العدوى

1. يبحث المستخدم عن برنامج شائع، فيظهر إعلان مموّل يقود إلى موقع مقلَّد بإتقان.
2. يُنزَّل ملف مضغوط محمي بكلمة مرور (لتجاوز الفحص) يحتوي على مثبِّت بحجم 700 ميغابايت مُضخَّم عمدًا.
3. يفك المثبِّت حمولة PowerShell تُنفَّذ في الذاكرة وتُعطّل سجل Defender المحلي.
4. تُجمع البيانات في أقل من 40 ثانية وتُرسل عبر واجهة بوت Telegram، ثم يحذف السارق نفسه.

3. ما الذي يُسرق؟

4. البنية التحتية

استخدمت العينات 14 بوت Telegram مختلفًا و9 نطاقات مقلَّدة مسجَّلة خلال الأسبوعين السابقين لكل حملة. تكرار تسجيل النطاقات عبر المسجِّل نفسه وبنمط تسمية ثابت (اسم-البرنامج-download[.]com) يشير إلى مشغّل واحد أو مجموعة صغيرة.

مؤشرات الاختراق

5. الضحايا والنطاق الجغرافي

بحسب بيانات القياس عن بُعد المتاحة لنا، توزعت الإصابات على: السعودية 34%، مصر 27%، الإمارات 15%، المغرب 9%، الأردن 8%، أخرى 7%. أغلب الضحايا مستخدمون أفراد، لكن 12% من الأجهزة كانت متصلة بنطاقات شركات — وهو ما يحوّل سارق معلومات «بسيطًا» إلى نقطة دخول لهجمات فدية.

6. التوصيات

• حجب تنزيل الملفات التنفيذية من مصادر غير معتمدة عبر سياسات المتصفح للمؤسسات.
• مراقبة إنشاء عمليات PowerShell من مثبِّتات في مجلد التنزيلات.
• اعتبار أي جهاز مصاب بسارق معلومات حادثًا يستوجب إعادة تعيين كل الجلسات، لا مجرد إزالة الملف.
• توعية الموظفين بأن الإعلان الأول في نتائج البحث ليس بالضرورة الموقع الرسمي.

«سارقو المعلومات ليسوا نهاية الهجوم، بل بدايته. كل جلسة مسروقة هي بطاقة دخول تُباع في اليوم التالي.»