كاسبرسكي تكشف عن حملة خداع معقدة تستخدم ديب سيك "DeepSeek"

كشف خبراء الأمن السيبراني في كاسبرسكي عن الأساليب المتقدمة التي اتبعها المجرمون السيبرانيون، والتي شملت استخدام تقنيات التحديد الجغرافي، والحسابات التجارية المخترَقة، وشبكات الروبوتات المنسقة، لنشر برمجيات خبيثة متخفية في صورة برنامج DeepSeek للذكاء الاصطناعي، مما أسفر عن تحقيق أكثر من 1.2 مليون مشاهدة على منصة إكس (تويتر سابقاً).

أعلن فريقا أبحاث التهديدات السيبرانية وأبحاث تكنولوجيا الذكاء الاصطناعي لدى كاسبرسكي عن رصد مشترك لحملة خداع متقدمة تستغل النمو المتسارع والاهتمام الجماهيري المتزايد بمنصة DeepSeek للذكاء الاصطناعي - وهي روبوت محادثة ذكاء اصطناعي توليدي ذو شعبية واسعة - بهدف نشر برمجيات خبيثة عبر مواقع إلكترونية احتيالية.

وكشفت التحقيقات التي أجراها خبراء كاسبرسكي قيام المجرمين السيبرانيين بإنشاء مواقع مزيفة تحاكي الموقع الرسمي لمنصة DeepSeek، مستخدمين أسماء نطاقات مضللة مثل «deepseek-pc-ai[.]com» و «deepseek-ai-soft[.]com». 

وتميزت هذه الحملة باستخدامها المتقن لتقنية التحديد الجغرافي، حيث تُحلل المواقع الإلكترونية الخبيثة عنوان بروتوكول الإنترنت (IP) الخاص بكل زائر، ثم تُكيّف طريقة عرض المحتوى تلقائياً وفقاً لموقعه الجغرافي، مما يتيح للمهاجمين تحسين نهجهم والحد من احتمالات اكتشاف أنشطتهم الخبيثة.

وفي هذا السياق، أوضح فاسيلي كوليسنيكوف، كبير محللي البرمجيات الخبيثة في قسم أبحاث التهديدات لدى كاسبرسكي قائلاً: «تكشف هذه الحملة عن مستوى متقدم من التطور يتجاوز بكثير أساليب الهندسة الاجتماعية التقليدية. 

استغل المهاجمون حالة الحماس غير المسبوقة حول تقنيات الذكاء الاصطناعي التوليدي، حيث جمعوا ببراعة بين تقنيات التحديد الجغرافي المستهدف، والحسابات التجارية المخترَقة، وتضخيم الروبوتات المنسق، مما مكنهم من الوصول إلى قاعدة جماهيرية واسعة مع تفادي أنظمة حماية الأمن السيبراني بدقة متناهية.»

وكشف تحليل كاسبرسكي أن منصة التواصل الاجتماعي إكس كانت القناة الرئيسية لتنفيذ هذه الحملة، حيث عمد المهاجمون، وفق خطة محكمة، إلى اختراق الحساب الرسمي لشركة أسترالية مشروعة واستغلاله في نشر روابط احتيالية على نطاق واسع. حقق هذا المنشور الخبيث بمفرده تفاعلاً لافتاً، إذ وصل عدد مرات ظهوره إلى ما يقارب 1.2 مليون مشاهدة، وحظي بمئات عمليات إعادة النشر.

 وتوصل الباحثون إلى أن غالبية عمليات إعادة النشر كانت من حسابات روبوتات منسقة، ويتضح ذلك من خلال أنماط التسمية المتماثلة والسمات المتشابهة للملفات الشخصية لهذه الحسابات، مما يؤكد وجود عملية تضخيم ممنهجة للمحتوى الخبيث.

تم استدراج الزوار إلى المواقع الإلكترونية المزيفة حيث تم توجيههم لتحميل نسخة مزيفة من تطبيق DeepSeek. وبدلاً من البرنامج الأصلي، وزّعت هذه المواقع برامج تثبيت خبيثة مصممة باستخدام منصة تثبيت Inno Setup. وعند تشغيل برامج التثبيت المخترَقة، كانت تحاول الاتصال بخوادم التحكم والسيطرة عن بُعد بهدف تنزيل وتنفيذ برمجيات PowerShell خبيثة مشفرة بتنسيق Base64.

 عملت هذه الأوامر البرمجية على تفعيل خدمة SSH المدمجة في نظام ويندوز، ثم أعادت تهيئتها باستخدام مفاتيح تشفير خاضعة لسيطرة المهاجمين، مما أتاح لهم إمكانية الوصول الكامل عن بُعد وبشكل غير مشروع إلى الأنظمة المخترقة.

تقوم منتجات كاسبرسكي الأمنية برصد وحظر جميع الأنشطة المرتبطة بتثبيت البرمجية الخبيثة لهذه الحملة بشكل استباقي، بما في ذلك الإصدارات المختلفة من البرمجية الخبيثة المعروفة باسم Trojan-Downloader.Win32.TookPS.*.