حصان طروادة (في مجال الحوسبة)

في مجال الحوسبة ، يُعرف حصان طروادة أو حصان طروادة بأنه نوع من البرامج الضارة التي تُضلل المستخدمين بشأن نواياها الحقيقية من خلال التخفي في هيئة برنامج عادي. تنتشر أحصنة طروادة عادةً عبر أساليب الهندسة الاجتماعية . ورغم أن حمولتها قد تكون أي شيء، إلا أن العديد من أشكالها الحديثة تعمل كباب خلفي ، حيث تتصل بخادم تحكم يمكنه الوصول غير المصرح به إلى الجهاز المُصاب. ^{[ 1 ]} غالبًا ما تُنفذ هجمات برامج الفدية باستخدام حصان طروادة. وعلى عكس فيروسات الحاسوب والديدان ، لا تحاول أحصنة طروادة عادةً حقن نفسها في ملفات أخرى أو نشر نفسها بأي طريقة أخرى. ^{[ 2 ]} سُميت أحصنة طروادة نسبةً إلى حصان طروادة الأسطوري في الميثولوجيا الإغريقية. ^{[ 3 ]}

يُشتق المصطلح من قصة الحصان الطروادي الخادع في الأساطير اليونانية القديمة ، والذي أدى إلى سقوط مدينة طروادة . ^{[ 3 ]} من غير الواضح أين ومتى نشأ مفهوم الحوسبة، وهذا المصطلح تحديدًا؛ ولكن بحلول عام 1971، افترض أول دليل لنظام يونكس أن قرّاءه على دراية بكليهما. ^{[ 4 ]} وثمة إشارة مبكرة أخرى في تقرير صادر عن سلاح الجو الأمريكي عام 1974 حول تحليل الثغرات الأمنية في أنظمة حاسوب مولتيكس . ^{[ 5 ]}

شاع استخدام مصطلح "حصان طروادة" بفضل كين تومسون في محاضرته التي ألقاها عام 1983 عند استلامه جائزة تورينج بعنوان "تأملات في الثقة بالثقة"، ^{[ 6 ]} والتي جاء عنوانها الفرعي: "إلى أي مدى ينبغي الوثوق بتصريح مفاده أن برنامجًا ما خالٍ من أحصنة طروادة؟ ربما يكون من الأهم الوثوق بمن كتبوا البرنامج". وقد ذكر أنه علم باحتمالية وجود أحصنة طروادة من خلال تقرير عن أمان برنامج Multics. ^{[ 7 ] [ 8 ]}

بمجرد تثبيتها، قد تقوم برامج التجسس الخبيثة بمجموعة من الأنشطة الضارة. يميل الكثير منها إلى الاتصال بخادم أو أكثر من خوادم القيادة والتحكم (C2) عبر الإنترنت وانتظار التعليمات. ونظرًا لأن كل برنامج تجسس خبيث يستخدم عادةً مجموعة محددة من المنافذ لهذا الاتصال، فمن السهل نسبيًا اكتشافه. علاوة على ذلك، قد تستولي برامج ضارة أخرى على برنامج التجسس الخبيث، وتستخدمه كوكيل لتنفيذ أنشطة ضارة. ^{[ 11 ]}

في الدول الناطقة بالألمانية ، يُطلق على برامج التجسس التي تستخدمها أو تصنعها الحكومة أحيانًا اسم "برامج حكومية" . تُستخدم هذه البرامج عادةً لاعتراض الاتصالات من الجهاز المستهدف. وتملك بعض الدول، مثل سويسرا وألمانيا ، إطارًا قانونيًا ينظم استخدام هذا النوع من البرامج. ^{[ 12 ] [ 13 ]} ومن أمثلة برامج التجسس الحكومية: برنامج MiniPanzer السويسري وبرنامج MegaPanzer ^{[ 14 ]} ، وبرنامج "حصان الدولة" الألماني الملقب بـ R2D2 . ^{[ 12 ]} تعمل البرامج الحكومية الألمانية عن طريق استغلال ثغرات أمنية غير معروفة للعامة، والوصول إلى بيانات الهواتف الذكية قبل تشفيرها عبر تطبيقات أخرى. ^{[ 15 ]}

نظراً لانتشار شبكات الروبوتات بين المخترقين وتوفر خدمات إعلانية تسمح للمؤلفين بانتهاك خصوصية مستخدميهم، أصبحت برامج التجسس الخبيثة أكثر شيوعاً. ووفقاً لدراسة استقصائية أجرتها شركة BitDefender في الفترة من يناير إلى يونيو 2009، "تتزايد البرامج الخبيثة من نوع حصان طروادة، حيث تمثل 83% من البرامج الخبيثة المكتشفة عالمياً". ^{[ 16 ]} وقد ذكرت BitDefender أن حوالي 15% من أجهزة الكمبيوتر أعضاء في شبكة روبوتات ، وعادةً ما يتم تجنيدها عن طريق الإصابة ببرنامج تجسس خبيث. ^{[ 17 ]}

كشفت تحقيقات حديثة عن استخدام أسلوب حصان طروادة في الهجوم على أنظمة الحوسبة السحابية . ويهدف هذا الهجوم إلى إدخال تطبيق أو خدمة خبيثة إلى النظام، قادرة على التأثير على خدمات السحابة من خلال تغيير وظائفها أو تعطيلها. وعندما يتعرف نظام السحابة على الهجوم على أنه مشروع، يتم تشغيل الخدمة أو التطبيق، مما قد يُلحق الضرر بنظام السحابة ويُصيبه بالفيروسات. ^{[ 18 ]}

تُصنّف برامج التجسس عادةً بناءً على وظيفتها الأساسية أو تأثيرها المقصود. ومن أبرز فئاتها برامج التجسس المصرفية ، المصممة لسرقة المعلومات المالية مثل بيانات اعتماد الخدمات المصرفية عبر الإنترنت، وأرقام بطاقات الائتمان ، ومفاتيح محافظ العملات الرقمية. ^{[ 19 ]} ويُعدّ كلٌّ من زيوس وتريك بوت من أكثر الأمثلة دراسةً لهذا النوع. وهناك فئة أخرى هي برامج التجسس للتحكم عن بُعد ( RAT )، التي تُمكّن المهاجمين من السيطرة الكاملة عن بُعد على النظام المُصاب، ما يسمح لهم بتثبيت برامج إضافية، والوصول إلى الملفات، أو مراقبة نشاط المستخدم. ^{[ 20 ]}

بعض برامج التجسس الخبيثة هي في الأساس برامج تنزيل ، أي أنها تعمل كمرحلة أولية للعدوى عن طريق تثبيت أنواع أخرى من البرامج الضارة بمجرد دخولها إلى النظام. وغالبًا ما تمهد هذه البرامج الطريق لبرامج الفدية ، وبرامج التجسس ، أو تجنيد أعضاء شبكات الروبوتات . ^{[ 21 ]} كما أن برامج التجسس الخبيثة لسرقة المعلومات شائعة أيضًا، حيث تجمع بيانات حساسة مثل ملفات تعريف الارتباط للمتصفح ، وبيانات الاعتماد المخزنة، أو المستندات دون علم المستخدم. علاوة على ذلك، تحاكي برامج التجسس الخبيثة المزيفة برامج الأمان الشرعية، وتخدع المستخدمين لدفع مبالغ مقابل خدمات غير ضرورية أو ضارة. ^{[ 22 ]} نظرًا لإمكانية تكييف برامج التجسس الخبيثة لأغراض متعددة، فإن العديد من الأنواع الحديثة منها تتشارك في خصائص متداخلة، حيث تمزج بين عناصر الأبواب الخلفية ، وبرامج التجسس، وبرامج التنزيل. ^{[ 22 ]} وقد كان هذا التكيف عاملاً رئيسيًا في انتشارها كواحدة من أكثر أنواع البرامج الضارة شيوعًا.

حصان طروادة هو برنامج يدّعي أداء وظيفة مشروعة، ولكنه عند تشغيله يُعرّض أمن المستخدم للخطر. ^{[ 23 ]} أحد الأمثلة البسيطة ^{[ 24 ]} هو النسخة الخبيثة التالية من أمر ls في نظام لينكس . يقوم المهاجم بوضع هذا البرنامج النصي القابل للتنفيذ في موقع قابل للكتابة العامة وذو حركة مرور عالية (مثلًا، /tmp/ls). بعد ذلك، أي ضحية تحاول تشغيله lsمن ذلك المجلد - إذا وفقط إذا شمل بحث الضحية عن الملفات القابلة للتنفيذ، PATHبشكل غير حكيم ^{[ 24 ]،} المجلد الحالي .- سيتم تشغيله /tmp/lsبدلًا من /usr/bin/ls، وسيتم حذف مجلدها الرئيسي.

#!/usr/bin/env bash rm -rf ~ 2 >/dev/null # حذف دليل المستخدم الرئيسي، ثم حذف نفسه. rm $0

قد تستغل برامج نصية مماثلة أوامر شائعة أخرى؛ فعلى سبيل المثال، قد يقوم برنامج نصي يدّعي أنه أمر sudo (الذي يطلب كلمة مرور المستخدم) بإرسال كلمة المرور هذه إلى المهاجم عبر البريد الإلكتروني. ^{[ 23 ]} في هذه الأمثلة، يُقلّد البرنامج الخبيث اسم برنامج معروف ومفيد، بدلاً من التظاهر بأنه برنامج جديد وغير مألوف (ولكنه غير ضار). ولذلك، تُشبه هذه الأمثلة أيضًا هجمات انتحال أسماء النطاقات وهجمات سلسلة التوريد .

يتطلب منع الإصابة ببرامج التجسس مزيجًا من وعي المستخدمين، والتدابير الوقائية التقنية، وممارسات الأمان الاستباقية. ولا يزال تثقيف المستخدمين حول مخاطر تنزيل الملفات غير الموثوقة أو تشغيل البرامج غير المعروفة وسيلة فعالة لمنع الهجمات. ^{[ 25 ]} ويمكن لبرامج الأمان، مثل برامج مكافحة الفيروسات والبرامج الضارة، أن تساعد في اكتشاف برامج التجسس وعزلها وإزالتها عند تحديثها باستمرار. ^{[ 26 ]} كما تُعد ممارسات التصفح الآمن - مثل تجنب الروابط المشبوهة، والامتناع عن تنزيل البرامج من مصادر غير موثوقة، وتوخي الحذر عند التعامل مع مرفقات البريد الإلكتروني - أساسيةً للحد من المخاطر. ^{[ 27 ]} بالإضافة إلى ذلك، يضمن الحفاظ على تحديثات منتظمة للبرامج وأنظمة التشغيل معالجة الثغرات الأمنية المعروفة، مما يُصعّب على برامج التجسس استغلال نقاط الضعف. ^{[ 28 ]} وفي بيئات العمل الاحترافية، تُستخدم جدران الحماية الشبكية وأنظمة كشف التسلل (IDS) وأدوات تصفية البريد الإلكتروني بشكل شائع لحظر حركة المرور المشبوهة ومنع برامج التجسس من التواصل مع الخوادم الخارجية. تساهم عمليات الفحص الأمني ​​المنتظمة وبرامج تدريب الموظفين والنسخ الاحتياطية الروتينية للبيانات في تعزيز الدفاعات والمساعدة في تقليل الأضرار المحتملة في حالة حدوث إصابة. ^{[ 29 ]}

تطورت برامج حصان طروادة الحديثة لتتجاوز البرامج الضارة التقليدية القائمة على الملفات، وتستخدم بشكل متزايد تقنيات مصممة لتجاوز أدوات الأمان القائمة على التوقيعات. ومن الأمثلة على هذا النهج البرامج الضارة عديمة الملفات، حيث تعمل برامج حصان طروادة بشكل أساسي في ذاكرة النظام وتعتمد على أدوات إدارية شرعية مثل PowerShell أو Windows Management Instrumentation (WMI). ومن خلال تقليل حجم الملفات الضارة أو إزالتها من القرص، يصعب على برامج مكافحة الفيروسات التقليدية اكتشاف برامج حصان طروادة عديمة الملفات. ^{[ 30 ]} في السنوات الأخيرة، توسعت برامج حصان طروادة لتشمل منصات الهواتف المحمولة والأنظمة المدمجة. غالبًا ما يتم توزيع برامج حصان طروادة الخاصة بنظام Android من خلال متاجر التطبيقات غير الرسمية أو حملات التصيد الاحتيالي، وقد تطلب المزيد من الأذونات التي تسمح بالوصول إلى الرسائل أو بيانات الاعتماد المخزنة أو المعلومات المالية. ^{[ 31 ]} غالبًا ما تستغل برامج حصان طروادة التي تستهدف أجهزة إنترنت الأشياء (IoT) ممارسات المصادقة الضعيفة أو البرامج الثابتة غير المحدثة، مما يسمح بدوره بدمج الأجهزة المخترقة في شبكات بوتات كبيرة تُستخدم في هجمات الحرمان من الخدمة الموزعة (DDoS). ^{[ 32 ]} لمواجهة هذه التطورات، تعتمد أنظمة الأمان الحديثة بشكل متزايد على تقنيات الكشف القائمة على السلوك. فبدلاً من الاعتماد فقط على بصمات البرامج الضارة المعروفة، يراقب التحليل السلوكي نشاط النظام بحثًا عن علامات مثل تصعيد الامتيازات غير المصرح به أو أنماط الاتصال الشبكي المشبوهة. ^{[ 33 ]} إلى جانب الكشف القائم على السلوك، طُوّرت أساليب تعتمد على التعلم الآلي لتصنيف وكشف برامج التجسس من خلال تحديد المخالفات ضمن بيانات القياس عن بُعد واسعة النطاق للنظام والشبكة. ورغم أن هذه الأساليب قد تُحسّن معدلات الكشف، إلا أنها تُطرح أيضًا تحديات تتعلق بالنتائج الإيجابية الخاطئة ووضوح أنظمة اتخاذ القرار الآلي. ^{[ 34 ]}

يمكن أن تستهدف برامج حصان طروادة أي شخص، لكن المخترقين يميلون إلى مهاجمة المؤسسات التي يمكنهم الاستفادة منها، سواءً مادياً أو من حيث المعلومات. ولذلك، تشمل الأهداف الرئيسية ما يلي:

- المؤسسات المالية من أجل سرقة الأموال إلكترونياً أو سرقة بيانات الاعتماد الفردية ^{[ 35 ]}

- المنظمات السياسية أو الحكومية لأغراض استخباراتية، للتلاعب بالانتخابات أو السيطرة على البنى التحتية الاستراتيجية مثل المرافق ^{[ 35 ]}

- المنظمات التي تخزن العديد من البيانات الشخصية مثل تجار التجزئة (بطاقات الولاء) أو مزودي الخدمات عبر الإنترنت لسرقة البيانات الحساسة لسرقة الهوية أو حتى التجسس الصناعي ^{[ 35 ]}

ظهرت العديد من برامج التجسس المعروفة التي لعبت دورًا هامًا في تاريخ الأمن السيبراني. ومن الأمثلة المبكرة على ذلك برنامج تجسس الإيدز ، الذي طُوّر عام 1989. ويُعتبر هذا البرنامج من أوائل أشكال برامج الفدية، حيث كان يقوم بتشفير أسماء الملفات على أجهزة الكمبيوتر المصابة ويطلب فدية لاستعادتها. ^{[ 36 ]}

من الأمثلة الشهيرة على ذلك برنامج التجسس "أنت أحمق" ( You Are An Idiot) ، الذي طُوّر عام 2002. نشأ هذا البرنامج من فقرة كوميدية قدمها المذيع الإذاعي الأمريكي ريك ديز في ألبومه " ضعها حيث لا يشرق القمر" (Put It Where the Moon Don't Shine) عام 1984. تحديدًا، استُخدمت النغمة الصوتية خلال فقرة مكالمات مزحة بعنوان "مكالمة هاتفية صريحة: جنازة كلب". اكتسب الصوت شهرة سيئة في أوائل الألفية الثانية عندما استُخدمت عينة منه لموقع YouAreAnIdiot.org، الذي كان يعمل كبرنامج تجسس يعمل عبر المتصفح. أغرق هذا الموقع المستخدمين بعرض وجوه مبتسمة بالأبيض والأسود تومض باستمرار مع إعادة تشغيل المقطع الصوتي بشكل متكرر. أصبح الموقع أشبه بـ"قنبلة منبثقة" أسطورية لأنه كان يُنشئ ست نوافذ جديدة في كل مرة يحاول المستخدم إغلاق إحداها، كما أنه كان يُعطّل اختصارات لوحة المفاتيح الشائعة مثل Alt+F4. ورغم أنه لم يُسبب ضررًا دائمًا للملفات، إلا أنه كان يستنزف موارد النظام بشكل متكرر ويتسبب في تجميد أجهزة الكمبيوتر. لاحقًا، تم إنشاء نسخ آمنة من الموقع بدون خاصية إنشاء النوافذ المنبثقة. ^{[ 37 ]}

ومن الأمثلة الشهيرة الأخرى حصان طروادة زيوس ، الذي تم اكتشافه لأول مرة عام 2007. استهدف زيوس بشكل أساسي أنظمة مايكروسوفت ويندوز، وصُمم لسرقة بيانات اعتماد الحسابات المصرفية من خلال هجمات "الرجل في المتصفح" ، التي تُصيب متصفح المستخدم لاعتراض البيانات والتلاعب بها، مما يؤدي إلى خسائر مالية واسعة النطاق واختراقات للبيانات. ^{[ 38 ]} في عام 2015، في أوكرانيا، تمكنت مجموعة مهاجمة، باستخدام جهاز كمبيوتر موثق يتم التحكم فيه عن بُعد بواسطة حصان طروادة للوصول عن بُعد ، من الوصول إلى خادم تحكم، مما أدى إلى انقطاع التيار الكهربائي عن 80 ألف شخص. ^{[ 39 ] [ 40 ]} في عام 2016، اكتسب حصان طروادة MEMZ ، وهو برنامج يعمل على نظام ويندوز، شهرة واسعة بسبب حمولاته المعقدة والمدمرة. واكتسب MEMZ سمعة سيئة لعرضه تأثيرات بصرية غير عادية على الأجهزة المصابة، مما يؤدي في النهاية إلى جعل الأنظمة غير قابلة للاستخدام.

في عام 2022، تم اكتشاف العديد من برامج التجسس التي تستهدف الوصول عن بُعد. استهدف برنامج صيني يُدعى "Alchimist" أنظمة التشغيل ويندوز وماك أو إس ولينكس، وكان قادرًا على تنفيذ إجراءات معينة عن بُعد، والتقاط لقطات شاشة، وتشغيل أوامر عشوائية. ^{[ 41 ]} كما تم اكتشاف برنامج تجسس آخر يُدعى "Cloud9" استخدم إضافة خبيثة لمتصفح كروم لسرقة الحسابات الإلكترونية. ^{[ 42 ]}

• وسائط متعلقة بحصان طروادة (برمجيات خبيثة) على ويكيميديا ​​كومنز
• "التوصية رقم CA-1999-02 بشأن أحصنة طروادة" (ملف PDF) . معهد هندسة البرمجيات بجامعة كارنيجي ميلون . مؤرشف من الأصل بتاريخ 17 أكتوبر 2000. تم الاطلاع عليه بتاريخ 15 سبتمبر 2019 .