تطبيقات شات جي بي تي المزيفة 2026: فخ Plus 5.6 وكيف تحمي حاسوبك

فخ ClickFix: فحص Cloudflare مزيف يطلب منك لصق أمر PowerShell

الصفحة التي تفتحها الضحية بعد مغادرة ChatGPT هي نسخة طبق الأصل من واجهة التحقق البشري الخاصة بـ Cloudflare. التعديل الجوهري: بدلًا من مربع "أنا لست روبوتًا"، تطلب الصفحة نسخ أمر طويل ولصقه في Windows Terminal أو PowerShell لإثبات أن الزائر إنسان. هذه التقنية تُعرف باسم ClickFix، وباتت الأسلوب الأكثر انتشارًا في 2026 بين عصابات برمجيات الفدية وسارقي بيانات الاعتماد.

ما إن يلصق المستخدم الأمر ويضغط Enter حتى تنطلق سلسلة تثبيت من ثماني مراحل. يستخدم المهاجمون ملف تثبيت MSI يستغل برنامجًا شرعيًا موقّعًا رقميًا من Canon لتحميل مكتبة DLL خبيثة بأسلوب يُعرف بـ DLL sideloading. يرافقه ملف صوتي يبدو بريئًا تمامًا. ينتهي كل ذلك بزرع حصان طروادة للتحكم عن بُعد (RAT) في النظام. حسب تحليل Huntress، يستخدم الـ RAT بروتوكول DNS-over-HTTPS عبر خوادم Cloudflare وجوجل وQuad9 ليخفي اتصاله مع خادم القيادة، وهو ما يصعّب كشفه بجدران الحماية التقليدية التي تعتمد على فحص DNS.

الفخ يفترض ثلاثة سلوكيات شائعة لدى المستخدم العربي: الثقة بأي شيء يبدو بشعار Cloudflare، التسرّع في فتح PowerShell طوال اليوم لأن المستخدم اعتاد أن تطلبها البرامج المشروعة، والتهاون في قراءة الأمر الملصوق قبل تنفيذه. القاعدة الذهبية ببساطة هي: لا يوجد موقع شرعي على الإنترنت يطلب منك لصق أمر في PowerShell لإثبات أنك إنسان. من يسألك ذلك هو مهاجم.

شهد عام 2026 ارتفاعًا حادًا في اعتماد ClickFix. تقارير شركات الاستجابة لحوادث الأمن تشير إلى أن هذه التقنية أصبحت المدخل الأول لنحو ثلث الإصابات الجديدة بالبرمجيات الخبيثة على ويندوز، متفوقة على مرفقات البريد التقليدية. السبب بسيط: المستخدم المدرب على عدم فتح مرفقات غريبة لم يُدرَّب بعد على رفض لصق أوامر من مواقع يراها شرعية. المهاجم يستغل هذه الفجوة في الوعي الأمني ويحوّل المتصفح إلى سلاح بدلًا من أن يكون ضحية.

openew.app وأخواتها: مواقع تحميل تنتحل OpenAI

قبل حملة Plus 5.6 بأشهر قليلة، كشفت Malwarebytes في 28 مايو 2026 عن موقع تحميل مزيف باسم openew[.]app. صُمم ليبدو كصفحة التنزيل الرسمية لـ OpenAI. ينشر الموقع ملفين مؤذيين: Chat_GPT.exe لويندوز وChatGpt.dmg لأجهزة ماك. ملف ويندوز بُني باستخدام Inno Setup وإطار Electron ويعمل كمحمّل لسارق بيانات اعتماد يسحب كلمات المرور ورموز الجلسات من المتصفحات. ملف ماك أخطر. يحمل Odyssey Stealer، تفرّع حديث من عائلة AMOS الشهيرة. يستهدف تحديدًا محافظ العملات المشفّرة ومفاتيحها الخاصة.

تواصل البرمجية مع خوادم القيادة عبر عناوين IP ثابتة من بينها 188.137.246.189 و192.253.248.181، ويجري الاتصال عبر مسار PHP بسيط هو /laravel.php?api=api. هذا النمط البدائي يعني أن أي جدار حماية مؤسسي يستطيع حجبه بسهولة لو عرف العناوين، لكن المستخدم المنزلي لا يملك هذه الحماية افتراضيًا، لذا يعتمد اكتشافه الكامل على محرك مكافحة الفيروسات في الوقت الفعلي. لمن يرغب في اختيار برنامج حماية الآن، راجع دليل أفضل برامج مكافحة الفيروسات بالأسعار الخليجية لمعرفة الباقات التي اجتازت اختبارات AV-Test في التصدي لتهديدات 2026.

المشترك بين Plus 5.6 وopenew.app ليس البرمجية الخبيثة في حد ذاتها، بل القناة: نتائج البحث المدفوعة على جوجل. المهاجم يدفع ليحتل الموضع الأول المدفوع فوق النتيجة الطبيعية لـ openai.com، فيختطف نقرات المستخدمين الباحثين عن "ChatGPT download". عادة البحث عن أي تطبيق في جوجل بدلاً من زيارة موقعه الرسمي مباشرة أصبحت أخطر عادة أمنية في 2026، وتحتاج إلى تغيير جذري في سلوك المستخدم.

تسميم نتائج البحث: الطُعم الحقيقي

ما يسمى SEO poisoning أو تسميم نتائج البحث هو جوهر هذه الحملة. المهاجم يبني شبكة من المدونات والمواقع التي ترتبط فيما بينها لرفع صفحة التحميل المزيفة في ترتيب جوجل الطبيعي، ثم يدعم ذلك بإعلانات ممولة ليحتل الموضع الأول المدفوع. النتيجة أن مستخدمًا يكتب "ChatGPT download" يجد النتيجتين الأوليين خبيثتين بينما الموقع الرسمي يظهر في المرتبة الثالثة أو الرابعة. تدرّب نفسك على التمرير مرتين وتجاهل أول نتيجتين إذا كانتا مميزتين بكلمة "إعلان" أو "Sponsored".

GitHub وSourceForge: مثبّتات مقلّدة تنشر Deno RAT

الموجة الثالثة التي رصدتها Help Net Security في 27 مايو 2026 تنقل الفخ إلى مستودعات برمجية يثق بها المطورون أنفسهم. استخدم المهاجمون GitHub وSourceForge لنشر مثبّتات مزيفة تنتحل أسماء ChatGPT وClaude إلى جانب برامج استوديو احترافية مثل AutoTune وKontakt وAbleton Live وZENOLOGY. التوزيع تمّ عبر قنوات يوتيوب مُخترقة. أصحابها أنتجوا فيديوهات توضيحية مولّدة بالذكاء الاصطناعي. تجاوزت المشاهدات 50 ألفًا قبل أن تُحذف.

الفخ هنا أذكى تقنيًا: المستخدم يفتح طرفية ويُنفّذ أمرًا يبدو مطمئنًا لأنه يثبّت أدوات مشروعة بدايةً، وهي Scoop وWinGet وبيئة Deno runtime الحقيقية. هذه الطبقة الأولى سليمة فعلاً وتعمل، لذا تظن الضحية أن كل شيء يسير كما يجب. المرحلة الثانية غير المرئية تجلب بابًا خلفيًا باسم DinDoor مباشرة إلى الذاكرة ويعمل دون أن يلامس القرص الصلب، وهو ما يسمى fileless execution (التنفيذ في الذاكرة مباشرة)، فيصعب على كثير من برامج الحماية رؤيته.

قدرات Deno RAT نفسه مرعبة. يُنفّذ أوامر PowerShell ونصوص برمجية (Scripts). يلتقط الشاشات. يفتح قناة SOCKS5 لإخفاء هوية المهاجم. يسرق بيانات من أكثر من 50 إضافة محفظة عملات مشفّرة و10 تطبيقات محافظ منها Atomic وExodus وElectrum وByteCoin. يسحب بيانات الاعتماد من متصفحات Chrome وBrave وEdge وOpera وVivaldi، ومن حسابات Telegram وDiscord وLightcord. يستطيع حتى بثّ فيديو مباشر. يفتح متصفح Edge في الخفاء ويحقن داخله صفحات WebRTC. تنقل هذه الصفحات صورة كاميرا الضحية إلى المهاجم مباشرة.

ماذا يفعل RAT بحاسوبك فعليًا بعد التثبيت

كلمة RAT اختصار لـ Remote Access Trojan، أي حصان طروادة للتحكم عن بُعد، وهي الفئة الأخطر في عالم البرمجيات الخبيثة لأنها لا تدمّر البيانات مباشرة بل تمنح المهاجم جلسة كاملة على جهازك كأنه جالس أمامه. ما وثّقته Huntress حول RAT حملة Plus 5.6 يشمل خمس قدرات. مراقبة لحظية للشاشة. تسجيل الكاميرا والميكروفون. البحث في نظام الملفات. التعرف على 17 نوعًا من المتصفحات لاستخراج ملفات تعريف الاعتماد. تنزيل حمولات ثانوية حسب أوامر المهاجم.

عمليًا هذا يعني أن المهاجم قادر على رؤية ما تكتبه في البنك الإلكتروني، تسجيل اجتماع Teams الخاص بك، استخراج ملفات تعريف الارتباط التي تبقيك مسجلاً في Gmail حتى بعد تفعيل التحقق بخطوتين، ونسخ محافظ العملات المشفّرة. البرامج التجسسية الحديثة تستهدف بشكل خاص ثلاثة أصناف من البيانات: الدخول إلى حسابات العمل، الرموز المالية، والصور والمحادثات الشخصية التي تُستخدم لاحقًا في ابتزاز أصحابها.

الأخطر من ذلك أن الـ RAT يسمح للمهاجم بتنصيب برمجية فدية في المرحلة التالية إذا اعتبرك هدفًا مربحًا. تقارير 2026 تشير إلى أن ثلثي حوادث الفدية تبدأ من إصابة RAT سابقة بأسابيع، ما يعني أن تطبيق شات جي بي تي مزيف قد يبدأ كتهديد بسيط وينتهي بتشفير ذكرياتك العائلية. من يريد فهم كيف يستغل المهاجمون النفس البشرية قبل البرمجيات، يُنصح بمراجعة دليل الهندسة الاجتماعية إذ إن ClickFix امتداد مباشر لها.

7 علامات تكشف تطبيقات شات جي بي تي المزيفة قبل التثبيت

بعد تتبّع عشرات الحملات، تتكرر سبع إشارات تحذيرية في كل تطبيقات شات جي بي تي المزيفة. حفظها كقائمة ذهنية يختصر عليك دقائق التفكير قبل كل تحميل. أولى هذه الإشارات هي اسم النطاق: الرسمي الوحيد هو openai.com وتطبيقات ChatGPT تحمله حرفيًا دون شرطات أو كلمات زائدة. أي chatgpt-ar.net أو openai-download.com أو chatgpt.app أو openew.app هو موقع احتيال مهما بدا تصميمه احترافيًا.

الإشارة الثانية: الظهور في إعلانات جوجل الممولة. OpenAI لا تحتاج إلى شراء إعلانات على اسمها الخاص، لذا الإعلان الممول الذي يظهر فوق النتائج ويقودك إلى صفحة تحميل هو إشارة خطر فورية. الإشارة الثالثة: طلب تنفيذ أمر في PowerShell أو Terminal لأي سبب كان، سواء كان "فحص Cloudflare" أو "إصلاح مشكلة اتصال" أو "تحقق من كونك إنسانًا". الإشارة الرابعة: ملف تنفيذي بامتداد .exe أو .msi حجمه أقل من 20 ميجابايت، لأن تطبيق ChatGPT الرسمي لويندوز يتجاوز 180 ميجابايت.

الخامسة: موقع يحمل شعار OpenAI لكنه يطلب تسجيل الدخول عبر نموذج داخلي بدل تحويلك إلى الصفحة الرسمية. السادسة: روابط تحميل في وصف فيديوهات يوتيوب مجهولة المصدر، خصوصًا تلك التي تستخدم أصواتًا مولّدة بالذكاء الاصطناعي. السابعة والأقل انتشارًا لكن الأكثر إيلامًا: GPT مخصّص داخل chatgpt.com نفسه يدّعي أنه نسخة بريميوم ويعطيك رابطًا خارجيًا. OpenAI لا تطلب أبدًا من المستخدم مغادرة النطاق الرسمي للترقية.

يمكن إضافة إشارة ثامنة احتياطية: طلب صلاحيات مبالغ فيها بعد التثبيت. تطبيق ChatGPT الرسمي على ويندوز يحتاج صلاحيات تشغيل عادية فحسب، دون طلب الوصول إلى جميع الملفات أو الكاميرا إلا حين تستخدم ميزة الصور. أي تطبيق يطلب صلاحيات مسؤول (Admin) أو تعديل الـ Registry أو تعطيل Windows Defender هو إشارة حمراء بامتياز. أغلق المثبّت فورًا واحذف الملف من مجلد التنزيلات دون تردد.

من أين تحمّل تطبيق ChatGPT الحقيقي بأمان

تطبيق ChatGPT الرسمي يُحمَّل من ثلاثة مصادر فقط، وأي شيء خارجها مشكوك فيه. على ويندوز: من Microsoft Store مباشرة بالبحث عن "ChatGPT - OpenAI"، أو من رابط openai.com/chatgpt/download الذي يقودك إلى صفحة Microsoft Store نفسها. على macOS: من موقع OpenAI الرسمي بتحميل حزمة بامتداد .dmg حجمها نحو 290 ميجابايت، أو من Mac App Store. على الهاتف: من App Store لآيفون أو Google Play لأندرويد، والناشر في المتجرين معًا هو OpenAI بالفعل وليس أي اسم آخر.

لإضافة طبقة أمان، تحقّق من التوقيع الرقمي للملف قبل التنفيذ. على ويندوز، انقر بزر الفأرة الأيمن على ملف التثبيت ثم "الخصائص" (Properties) ثم "التوقيعات الرقمية" (Digital Signatures)، ويجب أن يظهر الموقّع OpenAI, L.L.C. حرفيًا دون أي اختلاف في التهجئة أو إضافة حرف. على macOS، نفّذ في الطرفية codesign -dv --verbose=4 على الحزمة من الطرفية، وتحقّق من ظهور وجود Authority=Developer ID Application: OpenAI, L.L.C. في المخرجات.

السلوك الأفضل أمنيًا هو حفظ عنوان الموقع الرسمي كإشارة مرجعية (Bookmark) في المتصفح والدخول منها دائمًا، لا من محركات البحث. هذا يحميك من الإعلانات الممولة ومن محاولات تسميم نتائج البحث التي تسمى SEO poisoning، وهي الطريقة التي اعتمدها كل من حملة Plus 5.6 وopenew.app للوصول إليك.

بعض المستخدمين يقعون في الفخ من زاوية أخرى: البحث عن "ChatGPT APK" لتثبيت التطبيق على أندرويد خارج Google Play. حتى لو سمح الهاتف بالتثبيت من مصادر خارجية، يُنشر ملف APK بعشرات النسخ المعدّلة. أغلب هذه النسخ يُضاف إليها سارق بيانات أو برنامج إعلانات. القاعدة: على أندرويد لا تحمّل ChatGPT إلا من Google Play Store الرسمي، وتحقق من أن الناشر هو OpenAI OPCO LLC وأن عدد التنزيلات يتجاوز مليار عملية تنزيل. أي تطبيق بعدد تنزيلات أقل بكثير يستخدم اسم ChatGPT هو انتحال.

أول 60 دقيقة بعد الإصابة: خطة طوارئ عملية

إذا اشتبهت في أنك نفّذت أمرًا مريبًا في PowerShell أو ثبّت تطبيقًا مزيفًا لشات جي بي تي، فالدقائق الأولى حاسمة. الخطوة 1 (الدقائق الأولى): افصل جهازك عن الإنترنت فورًا بإغلاق Wi-Fi ونزع كابل الشبكة. هذا يقطع قناة الاتصال بين برنامج RAT وخادم القيادة ويمنع المرحلة الثانية من التنزيل. لا تتسرّع في إعادة التشغيل لأن بعض البرمجيات تنتظر إعادة الإقلاع لتفعيل الاستمرارية (Persistence).

الخطوة 2 (الدقائق 5-15): من جهاز آخر نظيف تمامًا، أو من هاتفك عبر شبكة بيانات مختلفة، سجّل الخروج من كل حساباتك الحساسة واحدًا تلو الآخر: Gmail، البنك، X، Instagram، WhatsApp Web، Microsoft 365، GitHub. غيّر كلمات المرور كلها وفعّل "تسجيل الخروج من جميع الجلسات" في كل خدمة تدعم الخيار. محافظ العملات المشفّرة أولوية قصوى: انقل أرصدتها الآن إلى محافظ جديدة أُنشئت على جهاز نظيف. ولمن يستخدم ChatGPT في العمل، فإن تفعيل المصادقة الثنائية عبر مفاتيح الأمان بات أمرًا لا غنى عنه، كما يشرح دليل حماية حساب ChatGPT بمفاتيح YubiKey بالتفصيل.

الخطوة 3 (الدقائق 15-60): على الجهاز المصاب، شغّل فحصًا كاملاً من محرك حماية موثوق مثل Microsoft Defender الأحدث أو Malwarebytes Premium. الحل الأضمن للجهاز الذي يحمل بيانات حساسة هو مسح نظام التشغيل وإعادة تنصيبه بالكامل، لأن الـ RAT قد يختبئ في مكوّنات نظام أعمق من قدرة محركات الحماية التجارية. ثم استرجع بياناتك من نسخة احتياطية مؤكدة أنها قبل تاريخ الإصابة. لا تنسَ مراجعة دليل الاحتيال الإلكتروني والبنكي لأن كثيرًا من مكالمات الاحتيال التي تلي الإصابة تستغل البيانات المسروقة لإقناعك بأن المتصل من البنك فعلاً.

مراجعة ما بعد الاستعادة

بعد الاستعادة، لا تنسَ جانبين مهمّين. الأول: مراجعة تطبيقات OAuth المرتبطة بحسابات Google وMicrosoft وGitHub. غالبًا ما يُضيف المهاجمون تطبيقًا بصلاحيات دائمة ليبقى الوصول قائمًا حتى بعد تغيير كلمة المرور. ادخل إلى صفحة الأمان في كل خدمة واحذف أي تطبيق لا تعرفه. الثاني: فعّل إشعارات تسجيل الدخول من موقع جديد في كل الخدمات الحساسة. هذا ينبّهك فورًا لو حاول المهاجم الدخول من جلسته النشطة التي لم تُنهَ بعد.

جدول مقارنة: شات جي بي تي الحقيقي مقابل تطبيقات شات جي بي تي المزيفة

الفروق أحيانًا دقيقة بما يكفي ليتجاوزها نظر مستخدم مستعجل. الجدول التالي يختصر الفحص إلى 9 نقاط تختبرها قبل أي تثبيت. اطبعه إن أردت وضعه بجانب الحاسوب، أو احفظ لقطة شاشة منه في معرض الهاتف. ثوانٍ قليلة في المراجعة تنقذ أسابيع من التنظيف لاحقًا، وكثير من ضحايا 2026 يؤكدون أنهم شكّوا للحظة قبل التثبيت ثم تجاوزوا الشك.

الجدول يُظهر أن أربع إشارات على الأقل تظهر دائمًا في المزيف ولا تظهر أبدًا في الحقيقي. حفظ هذه الإشارات أهم مما يبدو، لأن معظم الضحايا في حملات 2026 لم يسقطوا من جهل تقني، بل من تسرّع في لحظة ثقة. ثانيتان من التحقق تمنعان أسابيع من الكابوس.

المصادر

• The Hacker News - Attackers Abuse ChatGPT Custom GPTs to Deliver RAT via ClickFix
• Notebookcheck - Fake ChatGPT Plus 5.6 model on chatgpt.com spreads a trojan
• Digital Trends - A fake ChatGPT model on the official website is tricking users
• Android Authority - A real ChatGPT page is being used to trick people
• Malwarebytes - Fake ChatGPT download site infects Windows and Mac users
• Help Net Security - Fake ChatGPT and Claude installers drop Deno RAT
• eSecurity Planet - Fake ChatGPT Support Installs AMOS Infostealer on macOS
• Huntress ThreatOps Report - September 2026