أداة روسية سرية تتحول إلى سلاح قراصنة جديد يهدد ملايين أجهزة آيفون!

[إسحق القس افرام]

في مقر مكتب شركة كاسبرسكي (Kaspersky) في روسيا، لاحظ مهندسون أن هواتف موظفيهم ترسل بيانات إلى عناوين مجهولة عبر شبكة الشركة الداخلية، ما أثار استغرابهم بشدة.
تحقيق يقود لعملية التثليث
التحقيق الذي تلا هذه الملاحظة البسيطة كشف عن واحدة من أعقد عمليات التجسس الإلكتروني التي استهدفت هواتف آيفون على الإطلاق، أُطلق عليها "عملية التثليث".
وكانت عملية التثليث قد كشفت عام 2023 أن مجهولين طوروا برمجيات تجسس تستغل 4 ثغرات أمنية في نظام تشغيل آيفون، بعضها لم تكن شركة آبل تعلم بوجوده أصلاً.
كانت الهجمات خفية ودقيقة ومحدودة الأهداف، تليق بعمليات استخباراتية رفيعة المستوى، قدمت نتائج التحقيق في مؤتمر أمني دولي كبير عام 2023، وظن كثيرون أن الأمر انتهى.
ثلاث سنوات لاحقاً: الأداة عادت بوجه جديد
في 4 مارس (آذار) 2026، كشفت شركتا "غوغل" و"iVerify" عن حزمة اختراق متطورة تستهدف أجهزة آيفون تعمل بنظام تشغيل بإصدارات بين 13 و17.2.1، أُطلق عليها اسم "كورونا"، يبدو أن الاسم مصادفة بحتة، لكن ما بداخلها ليس كذلك.
وجد الباحثون أن كورونا تُعيد توظيف ثغرتين من الثغرات ذاتها التي استخدمت في عملية التثليث الأصلية، لكن الأهم من إعادة التوظيف هو ما اكتشفوه حين فحصوا الكود البرمجي من الداخل، وهو أن الأداتان خرجتا من يد واحدة.
أكد بوريس لارين، الباحث الرئيسي في كاسبرسكي لـ"The Hacker News"، أن "كورونا ليست تجميعاً لثغرات متاحة للعموم، بل هي تطور مستمر للإطار البرمجي الأصلي لعملية التثليث، والمطورون الأصليون لا يزالون يوسعون هذا الكود بنشاط".
كيف تعمل كورونا؟ الشرح المبسط
تخيل الهجوم كمن يحاول دخول بناية محكمة الإغلاق، لا يبدأ بكسر الباب الرئيسي مباشرة، بل يبحث عن نافذة صغيرة في مكان ما.
الخطوة الأولى - النافذة الصغيرة:
تبدأ العملية حين يزور المستخدم موقعاً إلكترونياً مخترقاً عبر متصفح سافاري، فور فتح الصفحة، يعمل كود خفي يفحص إصدار المتصفح والجهاز بدقة، ثم يختار الثغرة الأنسب بناءً على ذلك تحديداً، فكل إصدار من آيفون يواجه سلاحاً مصمماً له خصيصاً.
الخطوة الثانية - فتح الخزانة:
يحمل الكود الخفي مفتاح تشفير مخفياً بداخله بطول 256 خانة ثنائية، يستخدمه لفك قفل ملف مشفر يحتوي قائمة بجميع أدوات الاختراق المتاحة، هذا الملف يصف بدقة ما هو متاح ولأي جهاز.
الخطوة الثالثة - الانتقال من النافذة إلى القلب:
تنتقل السيطرة تدريجياً من المتصفح المعزول نحو نواة نظام التشغيل، وهو القلب الذي يتحكم في كل شيء على الجهاز، هذه القفزة هي أصعب ما في الهجوم وأخطره.
الخطوة الرابعة - التحكم الكامل وإخفاء الأثر:
بعد السيطرة على النواة، يُنزَل برنامج التجسس الفعلي، تُمحى جميع آثار الاختراق من سجلات الجهاز، ويبقى الاتصال بالمهاجمين مفتوحاً عبر قناة خفية.
ما الجديد في كورونا قياساً بسلفتها؟
تحتوي كورونا على 5 سلاسل اختراق كاملة لنواة النظام، و23 ثغرة إجمالاً، أربع من هذه السلاسل الخمس لم تظهر قط في عملية التثليث الأصلية، وبعضها طُور بعد كشف تلك العملية.
الأهم أن جميع السلاسل الخمس تشترك في قاعدة برمجية واحدة، ما يعني أن إضافة ثغرة جديدة لها لا يستلزم إعادة بناء شيء من الصفر، فالمطور يضيف قطعة جديدة إلى محرك قائم، كمن يبدل سلاحاً في نفس المسدس، وهنا تكمن الخطورة.
دعم الكود البرمجي داخل كورونا معالجات آبل الأحدث كـA17 وM3 وM3 Pro وM3 Max الصادرة في خريف 2023، وهو ما يكشف أن المطورين لم يتوقفوا عن العمل
من استخدم كورونا وضد من؟
وثقت التحقيقات 3 جهات مستخدمة بأهداف مختلفة تماماً:
شركة مراقبة تجارية مجهولة الهوية أتاحت الأداة لعملائها في وقت سابق من 2025.
وجهة يُشتبه في ارتباطها بروسيا نفذت هجمات على مواقع يرتادها أشخاص مستهدفون في أوكرانيا، بحيث يصاب جهاز كل من يفتح الموقع دون أي تفاعل منه.
وحملة اختراق جماعي استخدمت مواقع قمار إلكتروني ومواقع عملات رقمية مزيفة تستهدف مستخدمين صينيين لسرقة بياناتهم.
هذه ثلاثة دوافع مختلفة الأهداف بين تجاري، وسياسي، ومالي، وأداة واحدة تخدمها جميعاً.
ما الذي يعنيه هذا للمستخدم العادي؟
تكمن خطورة كورونا في أنها لا تحتاج من الضحية أي فعل سوى فتح موقع إلكتروني عادي، لا نقر على رابط مشبوه، ولا تثبيت تطبيق مجهول، ولا إدخال كلمة مرور في صفحة مزيفة، فمجرد التصفح يكفي.
صرح بوريس لارين بأن ما بدأ أداة للتجسس الدقيق بات يُنشر بلا تمييز، ونتوقع أن تبدأ جهات تهديد أخرى في دمجه ضمن هجماتها.
ويأتي هذا التحذير متزامناً مع تسريب نسخة جديدة من حزمة اختراق آيفون أخرى تُعرف بـالسيف الداكن على منصة جيت هاب مفتوحة المصدر، ما يعني أن أدوات خطيرة كانت حكراً على دول ومنظمات باتت الآن في متناول أي شخص يعرف كيف يبحث.
احتياطات ضرورية
يجب على المستخدمين حالياً، تحديث نظام تشغيل آيفون فور صدور أي تحديث أمني، وتجنب مواقع القمار الإلكتروني ومواقع العملات الرقمية المجهولة.
الثغرات التي تستغلها كورونا مغلقة في الإصدارات الحديثة، من لم يحدث جهازه بعد قد يدفع الثمن باهظاً.