السيطره علي جميع الانظمه ( اندرويد - ويندوز - لينكس ) ببوت تليجرام TelegramRAT
·
TelegramRAT: تحليل أداة تحكم عن بُعد عبر Telegram على Windows وLinux وطرق الحماية
هل يمكن استخدام Telegram كقناة اتصال بين برنامج يعمل على جهاز مصاب والطرف الذي يتحكم فيه؟ هذا هو السؤال الذي سنناقشه في هذا المقال من خلال تحليل مشروع يعرف باسم TelegramRAT.
تنبيه مهم: هذا المقال مخصص للتحليل الأمني والتوعية وفهم آلية عمل التهديدات وطرق اكتشافها والحماية منها. لن نوفر ملفات RAT جاهزة أو Payloads أو خطوات تشغيل أو إعداد تساعد على التحكم غير المصرح به في أجهزة الآخرين.
الهدف هو أن نفهم كيف يمكن إساءة استخدام خدمات مشروعة مثل Telegram داخل برمجيات التحكم عن بُعد، وما المؤشرات التي يمكن للباحث الأمني البحث عنها أثناء تحليل عينة مشبوهة.
ما هو TelegramRAT؟
RAT هو اختصار يستخدم عادة لوصف Remote Access Trojan أو Remote Administration Tool بحسب طبيعة البرنامج وطريقة استخدامه.
وجود إمكانية للتحكم عن بُعد لا يجعل أي برنامج برمجية خبيثة تلقائيًا؛ فهناك برامج شرعية كثيرة للإدارة والدعم الفني عن بُعد.
لكن عندما يتم تثبيت برنامج دون علم صاحب الجهاز أو يستخدم لتنفيذ أوامر أو جمع بيانات دون موافقة المستخدم، فنحن أمام سلوك أمني مختلف تمامًا ويجب التعامل معه كتهديد محتمل.
المشروع الذي نتناوله في هذا المقال منشور علنًا تحت اسم TelegramRAT ويصف نفسه بأنه RAT متعدد المنصات يعتمد على Telegram في الاتصال. ووفق الوصف المنشور للمشروع، فإن المنصات المذكورة بصورة واضحة هي Windows وLinux.
هل TelegramRAT يعمل على Android وWindows وLinux؟
لا أريد تكرار معلومة غير مؤكدة لمجرد أنها تبدو جذابة في عنوان المقال.
في النسخة التي تمت مراجعتها، توجد إشارات واضحة إلى Windows وLinux، لكن لا توجد لدي أدلة كافية تسمح لي بالقول إن المشروع نفسه يوفر دعمًا فعليًا ومتكافئًا لنظام Android.
هناك نقطة تقنية أخرى مهمة: Python نفسها لغة تعمل على عدد كبير من الأنظمة، لكن هذا لا يعني أن كل سكربت Python يعمل دون تعديل على كل نظام تشغيل.
على سبيل المثال، توثيق Python الرسمي يوضح أن مكتبة subprocess غير مدعومة على منصات Android ضمن CPython القياسي. كما أن الأوامر والمسارات والصلاحيات تختلف بين Windows وLinux وAndroid.
لذلك العبارة الأدق هي أن Python تساعد المطور على كتابة برامج قابلة للنقل بين عدة منصات، لكن التوافق الفعلي يعتمد على المكتبات والكود وواجهات النظام المستخدمة.
لماذا تستخدم بعض أدوات التحكم عن بُعد لغة Python؟
Python لغة شائعة في الأتمتة والأمن السيبراني وإدارة الأنظمة بسبب سهولة قراءة الكود ووجود مكتبات كثيرة للتعامل مع الشبكات والملفات وواجهات API والعمليات الموجودة في نظام التشغيل.
من المكتبات التي قد تظهر أثناء تحليل مشاريع Python:
• os للتعامل مع وظائف مرتبطة بنظام التشغيل والملفات والمسارات.
• subprocess لإنشاء عمليات جديدة والتعامل مع المدخلات والمخرجات الخاصة بها على المنصات المدعومة.
• requests للتعامل مع طلبات HTTP عندما يكون المشروع يستخدم هذه المكتبة الخارجية.
لكن وجود هذه المكتبات داخل مشروع لا يعني بمفرده أن المشروع RAT أو Malware. هذه المكتبات تستخدم يوميًا في آلاف البرامج والمشاريع الشرعية.
ما علاقة Telegram بالأداة؟
Telegram يوفر Bot API رسميًا للمطورين لإنشاء Bots وتنفيذ العديد من الاستخدامات المشروعة مثل الإشعارات وخدمة العملاء والأتمتة والتكامل بين الأنظمة.
Telegram نفسه ليس RAT، ووجود Telegram Bot داخل برنامج لا يعني أن البرنامج خبيث.
المشكلة تظهر عندما تتم إساءة استخدام واجهة Bot API كقناة لنقل أوامر أو نتائج بين برنامج يعمل على جهاز ما وطرف آخر دون معرفة صاحب الجهاز أو موافقته.
من منظور التحليل الأمني، هذه نقطة مهمة لأنها تعلمنا ألا نحكم على خدمة بأنها ضارة لمجرد أن مهاجمًا أساء استخدامها.
هل يمكن أن يتحول أي PDF أو MP4 أو MP3 إلى TelegramRAT؟
هذه نقطة تحتاج إلى توضيح لأن صياغتها بطريقة خاطئة قد تسبب خوفًا غير ضروري للمستخدم.
مجرد تغيير اسم برنامج أو إعطائه امتداد PDF أو MP3 أو MP4 لا يجعل الملف العادي ينفذ كود Python تلقائيًا.
كذلك ملف PDF أو صورة أو فيديو سليم لا يصبح RAT لمجرد فتحه.
قد تعتمد بعض الهجمات على خداع المستخدم بشأن نوع الملف الحقيقي، أو استخدام ملفات تحتوي على محتوى نشط، أو استغلال ثغرة في برنامج معين، أو إقناع المستخدم بتشغيل ملف تنفيذي يعتقد أنه شيء آخر.
ولهذا من المفيد في Windows تفعيل إظهار امتدادات الملفات وعدم الاعتماد على الأيقونة أو اسم الملف فقط.
ماذا عن ملفات Word والـ Macros؟
ملفات Office التي تحتوي على Macros كانت وما زالت نقطة مهمة في مجال الحماية من البرمجيات الضارة، ولذلك قامت Microsoft بتشديد الحماية بصورة كبيرة.
في الإصدارات المدعومة من Microsoft 365، يتم حظر VBA Macros الموجودة في الملفات القادمة من الإنترنت افتراضيًا في السيناريوهات التي تنطبق عليها هذه الحماية.
لهذا لا تقم بتجاوز تحذيرات Office أو تفعيل Macro داخل ملف وصل إليك من مصدر مجهول لمجرد أن الرسالة تطلب منك الضغط على Enable Content.
تحليل TelegramRAT من منظور دفاعي
عند تحليل عينة مشبوهة، الهدف ليس تشغيلها على جهاز حقيقي لمعرفة ما ستفعله، وإنما جمع أكبر قدر من الأدلة بطريقة آمنة.
يمكن أن يبدأ التحليل الدفاعي بالإجابة عن أسئلة مثل:
• ما نوع الملف الحقيقي؟
• ما قيمة Hash الخاصة بالعينة؟
• ما المكتبات التي يعتمد عليها البرنامج؟
• هل توجد اتصالات شبكية غير متوقعة؟
• هل توجد نطاقات أو عناوين أو واجهات API داخل الكود؟
• ما الملفات التي يحاول البرنامج الوصول إليها؟
• هل يحاول إنشاء عمليات أخرى؟
• هل توجد آليات Persistence أو تشغيل تلقائي؟
• هل توجد مؤشرات يمكن استخدامها في أنظمة الحماية؟
هذه المعلومات يمكن تحويلها لاحقًا إلى مؤشرات اختراق IOCs وقواعد كشف تساعد في حماية الأجهزة بدل استخدام العينة نفسها.
تحليل مؤشرات Telegram Bot داخل العينة
في الصورة التالية قمت أثناء التحليل الساكن لعينة مرتبطة بالتجربة بالعثور على مؤشرات مرتبطة باستخدام Telegram API وبيانات مرتبطة بالاتصال.
لكن هناك قاعدة مهمة جدًا أثناء التحليل:
العثور على Telegram API أو Bot Token داخل برنامج لا يكفي بمفرده لإثبات أن البرنامج Malware.
Telegram Bot API خدمة رسمية ولها استخدامات شرعية كثيرة. الحكم يجب أن يعتمد على سلوك البرنامج بالكامل والسياق والوظائف التي ينفذها.
كذلك لا ينبغي نشر Bot Token حقيقي أو Chat ID أو أي Credentials تم العثور عليها أثناء التحليل، لأن نشر بيانات الاعتماد قد يؤدي إلى إساءة استخدامها.
لماذا استخدام خدمة شرعية كقناة اتصال يستحق الانتباه؟
من منظور المدافع، التحدي هو أن المؤسسات لا تستطيع ببساطة اعتبار كل اتصال بخدمة شرعية اتصالًا خبيثًا.
قد تستخدم المؤسسة Telegram بصورة شرعية، بينما يحاول برنامج آخر إساءة استخدام إحدى واجهاته.
لذلك تعتمد عملية الكشف الجيدة على مجموعة من الإشارات بدل مؤشر واحد، مثل سلوك العملية، الملف الذي بدأ الاتصال، العمليات التابعة، الملفات التي يتم الوصول إليها، والتنبيهات التي تصدرها حلول الحماية.
كيف تحمي جهازك من هذا النوع من التهديدات؟
1- لا تشغّل ملفات مجهولة المصدر
لا تعتمد على اسم الملف أو الأيقونة فقط. تأكد من مصدره قبل تشغيله، خصوصًا الملفات التي تصلك في رسائل غير متوقعة.
2- أظهر امتدادات الملفات في Windows
إظهار الامتداد الحقيقي يساعدك على معرفة نوع الملف بدل الاعتماد على الاسم والأيقونة فقط.
3- لا تتجاوز تحذيرات Microsoft Office
إذا قام Office بحظر Macro في ملف تم تنزيله من الإنترنت، فلا تقم بإزالة الحماية أو تفعيل المحتوى إلا إذا كنت تعرف مصدر الملف وتحتاج بالفعل إلى الـMacro وتثق بالجهة التي أنشأته.
4- حافظ على تحديث النظام
ثبّت تحديثات Windows أو Linux والبرامج التي تستخدمها بصورة منتظمة، لأن التحديثات الأمنية تعالج ثغرات ومشكلات قد يتم استغلالها.
5- استخدم حلول الحماية المتاحة
حافظ على تفعيل وتحديث برنامج الحماية، لكن لا تعتمد على نتيجة فحص واحدة فقط للحكم على الملف.
6- تعامل بحذر مع المرفقات
إذا وصل إليك ملف من شخص تعرفه لكن الرسالة غير معتادة، تحقق منه عبر وسيلة أخرى قبل تشغيل الملف؛ فقد يكون حساب المرسل نفسه تعرض للاختراق.
توصيات للمؤسسات والشركات
في بيئة الشركات تصبح الحماية متعددة الطبقات أكثر أهمية.
من الإجراءات المفيدة:
• فحص الملفات القادمة من المصادر الخارجية.
• استخدام Endpoint Protection وEDR عندما يكون ذلك مناسبًا لبيئة المؤسسة.
• عزل الملفات التي يتم اكتشافها كبرمجيات ضارة.
• تطبيق سياسات مناسبة للتحكم في التطبيقات والخدمات السحابية.
• تطبيق سياسات DLP عند التعامل مع البيانات الحساسة.
• الاحتفاظ بنسخ احتياطية للبيانات المهمة.
• تحديث أنظمة التشغيل والبرامج بصورة منتظمة.
• تدريب المستخدمين على اكتشاف المرفقات ورسائل التصيد المشبوهة.
• منع تشغيل Macros القادمة من الإنترنت عندما لا توجد حاجة عمل واضحة لها.
• تطبيق مبدأ أقل صلاحية Least Privilege على حسابات المستخدمين.
ماذا تفعل إذا شككت في إصابة جهازك؟
إذا ظهرت لديك مؤشرات قوية على وجود برنامج تحكم غير مصرح به، لا تبدأ بحذف ملفات عشوائية قبل فهم ما حدث.
يمكن اتباع خطوات استجابة دفاعية مثل:
1- افصل الجهاز عن الشبكة إذا كان هناك خطر مستمر لتسريب البيانات.
2- احتفظ بالمعلومات والتنبيهات المهمة التي قد تساعد في التحقيق.
3- شغّل فحصًا باستخدام حلول الحماية الموثوقة.
4- راجع البرامج والعمليات غير المعتادة ومواقع التشغيل التلقائي باستخدام أدوات إدارية موثوقة.
5- إذا كان الجهاز تابعًا لشركة، تواصل مع فريق الأمن أو تقنية المعلومات بدل محاولة معالجة الحادث بشكل فردي.
6- إذا كانت هناك احتمالية لسرقة بيانات اعتماد، غيّر كلمات المرور من جهاز موثوق وراجع جلسات تسجيل الدخول وفعّل المصادقة متعددة العوامل.
فيديو التحليل العملي لـ TelegramRAT
في الفيديو التالي أعرض تجربتي وتحليلي للمشروع من منظور التوعية الأمنية. تعامل مع أي عينات أو مشاريع مرتبطة بالبرمجيات الخبيثة داخل بيئة تحليل معزولة ومخصصة لذلك فقط.
لماذا لم أضع رابط تحميل TelegramRAT؟
هدف المقال هو التحليل والحماية وليس توزيع أدوات تحكم عن بُعد قابلة للاستخدام ضد أجهزة حقيقية.
لذلك لن أضع خطوات تثبيت أو تشغيل أو إعداد RAT أو Payload جاهز.
عند نشر مشروع دفاعي مرتبط بهذا النوع من الأبحاث، الأفضل أن يحتوي على مواد آمنة مثل تقرير التحليل، Hashes، مؤشرات الاختراق IOCs، لقطات الشاشة، وقواعد الكشف أو نصائح الاستجابة، بدل نشر عينة تنفيذية خبيثة.
رابط تحليلي للمشروع
الخلاصة
TelegramRAT مثال مفيد لفهم كيف يمكن إساءة استخدام خدمة شرعية مثل Telegram داخل أدوات التحكم عن بُعد.
لكن من المهم عدم الخلط بين Telegram نفسه وبين إساءة استخدام Telegram Bot API؛ فالـBot API واجهة رسمية مخصصة للمطورين ولها عدد ضخم من الاستخدامات المشروعة.
كذلك لا ينبغي القول إن أي مشروع Python يعمل تلقائيًا على Windows وLinux وAndroid. توافق البرنامج يعتمد على الكود والمكتبات وواجهات نظام التشغيل التي يعتمد عليها.
ومن خلال التحليل الدفاعي نستطيع تحويل مثل هذه العينات من مجرد "أداة اختراق" إلى فرصة لفهم سلوك التهديدات، وتعلم كيفية اكتشاف المؤشرات والاستجابة للحوادث وحماية المستخدمين.
Comments
Post a Comment