شاهد الفيديو (دقيقتان):
تخيّل هذا المشهد. تكتب أفضل فكرة لديك في الثانية فجرًا، ثم تحفظها ولا تخبر بها أحدًا. بعد أسبوع يطلقها شخص آخر بالاسم نفسه والكلمات نفسها.
لم يخترق أحد حسابك السحابي. كان هناك شخص داخل لوحة مفاتيحك.
ما هو مسجّل ضغطات المفاتيح
مسجّل ضغطات المفاتيح (Keylogger) برنامج، أو جهاز صغير، يسجّل كل مفتاح تضغطه: كلمات المرور، والرسائل، وأرقام البطاقات، وكل فكرة تكتبها. والأنواع الحديثة منه تسرق أيضًا كلمات المرور المحفوظة في المتصفح، وملفات تعريف الارتباط (Cookies)، ولقطات الشاشة. ثم ترسل كل ذلك إلى المهاجم كل بضع دقائق، وغالبًا عبر البريد الإلكتروني (SMTP) أو FTP أو روبوت على Telegram.
كيف دخل أحدها هذا العام: VIP Keylogger
في مارس 2026 حلّلت مختبرات K7 Security Labs حملة لبرنامج VIP Keylogger، وهو مسجّل ضغطات يُقدَّم بنموذج "البرمجيات الخبيثة كخدمة" (Malware as a Service)، أي أن أي شخص يستطيع استئجاره:
- بدت الرسالة كأنها أمر شراء عادي.
- كان المرفق ملف RAR يحتوي على شيء يبدو كجدول بيانات، باسم يشبه
..._xlsx.exe. لم يكن ملف Excel، بل كان برنامجًا. - نقرة مزدوجة واحدة كانت كافية لتحميل مسجّل الضغطات مباشرة في الذاكرة.
- سرق البرنامج بيانات تسجيل الدخول، وملفات تعريف الارتباط، وبيانات الملء التلقائي، وبيانات البطاقات من أكثر من 40 متصفحًا، إضافة إلى Outlook وThunderbird وDiscord وFileZilla. ثم أرسلها عبر SMTP على المنفذ 587 أو FTP أو Telegram أو Discord.
والخطر لا يقتصر على الشركات الكبيرة. ففي يونيو 2026 نشر موقع The Hacker News خبر مهاجم زرع مسجّل ضغطات في شركة سيارات صغيرة، وسرق كلمات مرور الحسابات المصرفية والبريد الإلكتروني، ثم ثبّت OpenSSH وTailscale ليترك لنفسه بابًا خلفيًا (Back Door) يعود منه لاحقًا.
اكتشفه
1. افحص تطبيقات بدء التشغيل
معظم مسجّلات الضغطات تبدأ العمل مع تشغيل Windows.
- اضغط Ctrl + Shift + Esc وافتح Startup apps (تطبيقات بدء التشغيل).
- ابحث عن تطبيق بلا ناشر (Publisher)، أو تطبيق باسم لا تعرفه. الأسماء المزيفة مثل
svchost32شائعة. - انقر عليه بالزر الأيمن، واختر Open file location (فتح موقع الملف)، وسجّل المسار، ثم اختر Disable (تعطيل).
مدير المهام (Task Manager) لا يعرض كل شيء. للعناصر المخفية، مثل المهام المجدولة والخدمات ومفاتيح التشغيل في السجل (Registry Run keys)، استخدم أداة Autoruns من مجموعة Microsoft Sysinternals. من قائمة Options فعّل الخيارين Hide Microsoft Entries وVerify Code Signatures. الصفوف الوردية التي تحمل العبارة (Not Verified) وتعمل من AppData أو Temp تستحق أن تفحصها بعناية.
2. اضبطه وهو يتواصل
مسجّل الضغطات لا ينفع المهاجم إلا إذا أرسل البيانات إلى الخارج. افتح PowerShell بصلاحيات المسؤول (Run as Administrator)، واعرض اتصالاتك النشطة مع التطبيق الذي يقف خلف كل اتصال:
Get-NetTCPConnection -State Established |
Select-Object RemoteAddress, RemotePort,
@{n='App';e={(Get-Process -Id $_.OwningProcess).Name}},
@{n='Path';e={(Get-Process -Id $_.OwningProcess).Path}} |
Sort-Object App | Format-Table -AutoSize
علامات الخطر:
| ما تراه | ما يعنيه |
|---|---|
| RemotePort بقيمة 587 أو 465 أو 25 من تطبيق ليس برنامج البريد لديك | هناك شيء يرسل بريدًا إلكترونيًا (ضغطاتك تخرج عبر SMTP) |
| RemoteAddress بقيمة 149.154.x.x أو 91.108.x.x من تطبيق ليس Telegram | التطبيق يتواصل مع روبوت على Telegram |
| RemotePort بقيمة 21 من تطبيق مجهول | رفع ملفات عبر FTP |
مسار التطبيق داخل AppData أو Temp أو Downloads |
برامج Windows الحقيقية لا توجد في هذه المجلدات |
ولعرض منافذ البريد وFTP فقط:
Get-NetTCPConnection | Where-Object RemotePort -in 21,25,465,587 |
Select-Object RemoteAddress, RemotePort, State,
@{n='App';e={(Get-Process -Id $_.OwningProcess).Path}}
3. انظر خلف الحاسوب
ليس كل مسجّل ضغطات برنامجًا. مسجّل الضغطات العتادي (Hardware Keylogger) قطعة صغيرة توضع بين كبل لوحة المفاتيح ومنفذ USB، ولا يستطيع أي برنامج مكافحة فيروسات أن يراها. تتبّع كبل لوحة المفاتيح، فإن وجدت محوّلًا لم تضعه أنت فانزعه. أما في بيئة العمل فأبلغ قسم تقنية المعلومات أو الأمن أولًا، لأن هذه القطعة دليل.
أصلحه
4. شغّل فحص Microsoft Defender Offline
بعض البرمجيات الخبيثة تختبئ أثناء تشغيل Windows. الفحص دون اتصال (Offline scan) يعيد تشغيل الحاسوب في بيئة نظيفة ويفحص الجهاز منها. يستغرق نحو 15 دقيقة، لذا احفظ عملك قبل البدء.
- Windows Security > Virus & threat protection > Scan options > Microsoft Defender Offline scan > Scan now
- أو من PowerShell بصلاحيات المسؤول:
Start-MpWDOScan
راجع النتيجة في Protection history (سجل الحماية). وإذا طلب BitLocker مفتاح الاسترداد، فأوقف BitLocker مؤقتًا قبل أن تبدأ.
5. غيّر كلمات المرور من جهاز آخر
افترض أن كل ما كتبته قد سُرق بالفعل. استخدم هاتفك أو جهازًا آخر نظيفًا، وليس ذلك الحاسوب:
- غيّر كلمة مرور البريد الإلكتروني أولًا، لأن البريد هو المفتاح لإعادة تعيين كل شيء آخر.
- سجّل الخروج من جميع الجلسات في كل حساب، حتى تتوقف جلسات المهاجم عن العمل.
- فعّل مفاتيح المرور (Passkeys) أو المصادقة متعددة العوامل (MFA). تطبيق المصادقة أفضل من الرسائل النصية (SMS). عندها لن تكفي كلمة المرور المسروقة وحدها لفتح حسابك.
- بعد ذلك غيّر كلمات مرور الحسابات المصرفية وحسابات العمل ومواقع التواصل، وأي كلمة مرور استخدمتها في أكثر من مكان.
6. تأكد أن الفاتورة المزيفة لن تخدعك مرة أخرى
يُخفي Windows امتدادات الملفات افتراضيًا، لذلك قد يظهر الملف Invoice_xlsx.exe باسم Invoice_xlsx مع أيقونة Excel. أظهر الامتدادات:
File Explorer > View > Show > File name extensions
أو من PowerShell:
Set-ItemProperty 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced' -Name HideFileExt -Value 0
وإذا استمر مسجّل الضغطات في العودة بعد الفحص دون اتصال، فاحفظ نسخة احتياطية من ملفاتك وأعد ضبط Windows من (Settings > System > Recovery).
قائمة التحقق
- تطبيقات بدء التشغيل: لا يوجد تطبيق مجهول بلا ناشر
- Autoruns: لا توجد عناصر "(Not Verified)" تعمل من AppData أو Temp
- الاتصالات: لا يوجد تطبيق مجهول على المنافذ 587/465/25/21 أو يتواصل مع Telegram
- لا توجد قطعة غريبة بين لوحة المفاتيح والحاسوب
- تم إجراء فحص Microsoft Defender Offline
- تم تغيير كلمة مرور البريد من هاتفك، وتسجيل الخروج من جميع الجلسات
- مفاتيح المرور أو المصادقة متعددة العوامل مفعّلة للبريد والبنك والعمل
- امتدادات أسماء الملفات ظاهرة
الرجل ذو الملابس السوداء فقد اتصاله للتو. وأفكارك عادت ملكًا لك من جديد.
شاهد الفيديو:
Abd Almouhimen Shamout، من Take away support: حلول تقنية في أقل من دقيقتين. mouhimen.dev
المصادر
- GBHackers، "MaaS VIP Keylogger Campaign Uses Steganography to Steal Credentials at Scale" (9 مارس 2026): https://gbhackers.com/maas-vip-keylogger-campaign/
- Seqrite، "Spear Phishing Campaign Delivers VIP Keylogger via Email Attachment": https://www.seqrite.com/blog/spear-phishing-campaign-delivers-vip-keylogger-via-email-attachment/
- Splunk، "Behind the Code: The Layered Defense-Evasion of VIP Keylogger": https://www.splunk.com/en_us/blog/security/behind-the-code-layered-defense-evasion-vip-keylogger.html
- The Hacker News، أخبار مسجّلات الضغطات (17 يونيو 2026، مسجّل ضغطات في شركة سيارات صغيرة): https://thehackernews.com/search/label/keylogger
- Microsoft Learn، فحص Microsoft Defender Offline: https://learn.microsoft.com/en-us/defender-endpoint/microsoft-defender-offline
- Microsoft Learn، أداة Autoruns (Sysinternals): https://learn.microsoft.com/en-us/sysinternals/downloads/autoruns
- Microsoft Learn، الأمر Get-NetTCPConnection: https://learn.microsoft.com/en-us/powershell/module/nettcpip/get-nettcpconnection
هذا المقال ترجمة عربية للمقال الأصلي باللغة الإنجليزية للكاتب عبد المهيمن شموط على mouhimen.dev.
