حملة XCTDH تخفي عناوين أوامر برمجياتها الخبيثة في إيثريوم

في نهاية سبتمبر 2026، نشر مجموعة الاستخبارات المتخصصة في برامج الفدية Ransom‑ISAC تقريرًا مفصلاً يصف طريقة جديدة سُميت «HashHiding»، تُستخدم من قبل حملة الفدية XCTDH التي تُنسب إلى حد كبير إلى كوريا الشمالية. وفقًا للتقرير، بدأ مشغلو XCTDH بترميز عنوان خادم القيادة والتحكم (C2) داخل حقول المستلم في معاملات إيثريوم التي لا تتطابق مع أي عنوان حقيقي أو التي تنقل كمية ضئيلة جدًا من الأصول المشفرة. تهدف هذه التقنية إلى صعوبة اكتشاف خادم C2 بالنسبة للمحللين الأمنيين، مع الحفاظ على قدرة البرمجية الخبيثة على استرجاع المعلومات ديناميكيًا من سلسلة الكتل. وبالتالي، يصبح تتبع الخادم أكثر تعقيدًا، حيث تُخفي العناوين داخل معاملات تبدو غير ذات قيمة.

كيف تعمل تقنية HashHiding

في معاملة إيثريوم القياسية، يُظهر الحقل «to» عنوان المستلم. لاحظ باحثو Ransom‑ISAC أن مشغلي XCTDH يستبدلون هذا العنوان بسلسلة سداسية عشرية، وعند فك تشفيرها تكشف عن معرف خادم C2. يعتمد فك التشفير عادةً على دالة تجزئة عكسية أو على جدول مطابقة تم إعداده مسبقًا داخل البرمجية الخبيثة. قد تحتوي المعاملة نفسها على صفر إيثريوم أو مبلغ أقل من 0.0001 ETH، مما يجعلها غير جذابة للمنقبين ومستكشفي الكتل، لكنها كافية لتسجيلها بشكل دائم على السلسلة.

يقوم مكوّن الاسترجاع في البرمجية الخبيثة بالاتصال بعقد إيثريوم عام أو نقطة وصول RPC لاستخراج أحدث المعاملات التي تحمل النمط المشبوه. بمجرد تحديد المعاملة، يطبق الكود نفس منطق فك التشفير الذي يستخدمه المشغلون، ويعيد بناء عنوان IP أو اسم النطاق الخاص بخادم C2، ثم يفتح اتصالًا مشفّرًا لتحميل الحمولة أو مفاتيح فك التشفير. هذه الطريقة تلغي الحاجة إلى خادم DNS ديناميكي أو قائمة ثابتة من العناوين، ما يجعل تدوير الخادم شبه غير مرئي أمام أنظمة الكشف التقليدية.

أدلة ونطاق حملة XCTDH

أظهر التحقيق الذي أجرته مجموعة Ransom‑ISAC أكثر من 2 600 معاملة تتطابق مع نمط HashHiding خلال فترة ثلاثة أشهر، من نهاية يوليو إلى نهاية أكتوبر 2026. خلال هذه النافذة الزمنية، غير المشغلون العنوان المشفر أربع مرات، مما أدى إلى استخدام ثلاثة خوادم C2 متميزة. كل تغيير في العنوان صاحب فترة اختبار قصيرة، حيث تلقى عدة عشرات من الضحايا المحمّل الجديد، قبل أن يتم نشر التكوين الجديد على نطاق واسع. هذه الأرقام تؤكد أن التقنية ليست اختبارًا معزولًا، بل هي جزء مدمج من بنية تحتية حملة XCTDH.

إلى جانب إيثريوم، لاحظ الباحثون أن المشغلين يكررون نمط HashHiding على شبكات عقود ذكية أخرى، مثل BNB Smart Chain وTRON وAptos. هذا التنوع يجبر فرق الدفاع على مراقبة مستكشفات كتل متعددة في آن واحد، وتطبيق قواعد ربط بين السجلات المختلفة. بما أن كل سلسلة لها معايير رسوم وتأكيد خاصة، يصبح إنشاء حظر آلي أكثر تعقيدًا، لأن العنوان المخفي على إيثريوم يمكن نسخه بسرعة على BNB Smart Chain بتكلفة هامشية قليلة.

حدود الإخفاء

في حين أن تقنية HashHiding تجعل تدوير خادم C2 أكثر مقاومة للعمليات اليدوية، فإنها لا تجعل البرمجية الخبيثة غير قابلة للكشف تمامًا. لا يزال بإمكان المحللين تحديد المعاملات المشبوهة باستخدام مرشحات تستند إلى حجم المعاملة، عدم وجود قيمة منقولة، ووجود أنماط سداسية عشرية متكررة. بالإضافة إلى ذلك، يجب أن يكون كود فك التشفير موجودًا داخل الملف التنفيذي أو يتم تحميله أثناء أول إصابة، ما يوفر نقطة ارتكاز لحلول الكشف القائمة على التحليل الساكن أو الديناميكي.

بدأت فرق الاستجابة للحوادث بدمج توقيعات معاملات HashHiding في أنظمتها لمراقبة سلاسل الكتل. تبحث هذه التوقيعات عن عناوين وجهة لا تتطابق مع أي محفظة معروفة وتكون مرتبطة بمبالغ أقل من عتبة محددة مسبقًا، عادةً 0.001 ETH. في الوقت نفسه، يمكن لأدوات الصندوق الرملي (sandbox) مراقبة سلوك البرمجية الخبيثة لتحديد استدعاءات API الخاصة بـ RPC لإيثريوم وفك تشفير البيانات السداسية، مما يولد تنبيهات مبكرة قبل أن يتواصل المحمّل مع خادم C2.

• مراقبة معاملات إيثريوم، BNB Smart Chain، TRON وAptos للبحث عن أنماط HashHiding
• نشر مرشحات قيمة دنيا لتجاهل المعاملات الصغيرة المشبوهة
• دمج توقيعات فك التشفير في حلول EDR والصناديق الرملية
• حجب أو إعادة توجيه طلبات RPC إلى عقد موثوقة تديرها المؤسسة
• مشاركة مؤشرات الاختراق (IOCs) مع مجتمعات ISAC لتنسيق الاستجابة

بالنسبة للمؤسسات، تعني ظاهرة HashHiding أن مجرد وضع قوائم سوداء لعناوين IP أو النطاقات لم يعد كافيًا لقطع سلسلة العدوى. يستطيع المهاجمون تغيير عنوان C2 خلال ساعات قليلة دون تنبيه أنظمة تصفية الشبكة، مع الحفاظ على أثر دائم على سلسلة الكتل العامة. لذلك، يجب على المنظمات توسيع نطاق كشفها ليشمل أنشطة السلاسل العامة، من خلال دمج تحليلات حركة المرور الشبكية، سجلات استدعاءات RPC، ومعلومات عن المعاملات المشبوهة.

في ضوء هذه الاكتشافات، يُدعى فرق الأمن السيبراني إلى تحديث دفاتر إجراءات الاستجابة لبرمجيات الفدية لتتضمن إجراءات مراقبة السلاسل العامة وقواعد إنذار مخصصة لتقنية HashHiding. كما يوصي Ransom‑ISAC بتعزيز التعاون بين مزودي خدمات السحابة، مستكشفات الكتل، ومنصات التداول لتسهيل الإبلاغ عن العناوين المخفية وتحييدها بسرعة. من خلال تبني هذه الإجراءات، سيتمكن المدافعون من تقليل الميزة التي تمنحها إخفاءات إيثريوم لمشغلي XCTDH وتضييق نطاق حملاتهم المستقبلية.