كشفت تحليلات جديدة أن برمجية ToxicPanda الخبيثة لنظام أندرويد تطورت إلى إصدار أكثر قدرة على التحكم بالأجهزة المصابة، مع توسيع قائمة التطبيقات المستهدفة إلى 349 تطبيقاً وإضافة دعم لـ167 أمراً عن بُعد. وتستهدف البرمجية تطبيقات مصرفية ومالية ومنصات للعملات المشفرة ومحافظ إلكترونية في 16 دولة.
وبحسب شركة أمن الأجهزة المحمولة Zimperium، يجري توزيع ToxicPanda 2.0 عبر حاويات مستضافة على Amazon Web Services (AWS). ولا يقتصر الإصدار الأحدث على سرقة بيانات الدخول؛ إذ يجمع بين تعطيل خدمات الحماية، واعتراض تفاعلات المستخدم، وتنفيذ أوامر على مستوى النظام بهدف الحفاظ على الوصول إلى الجهاز.
صلاحيات VPN لتعطيل خدمات Google
تطلب البرمجية صلاحيات خدمة VPN لإنشاء واجهة محلية تمر عبرها حركة الشبكة على الجهاز. ومن خلال هذه الواجهة، تمنع ToxicPanda 2.0 الاتصالات مع Google Play وGoogle Play Services قبل استخراج حمولتها وتثبيتها، ثم تطلب صلاحيات خدمة إمكانية الوصول.
يمنح التحكم في حركة الشبكة البرمجية قدرة على التدخل في عمليات مثل التحقق من التطبيقات، وتنزيل التحديثات، واتصال Play Protect، إضافة إلى تعطيل بعض الإجراءات التي يعتمد عليها أندرويد لحماية المستخدم. وتكمن أهمية هذا الأسلوب في أنه يهاجم طبقة الاتصال التي تعتمد عليها خدمات الحماية، بدلاً من الاكتفاء بإخفاء التطبيق الخبيث داخل الجهاز.
سرقة بيانات الدخول وأرقام PIN
تستخدم ToxicPanda تراكبات تصيد تستهدف التطبيقات المالية، وقد وصفت Zimperium بعض هذه التراكبات بأنها غير مرئية للضحية، ما يسمح للبرمجية بالتقاط مدخلات اللمس أثناء استخدام التطبيقات المستهدفة. ويضم الإصدار أيضاً وحدة منفصلة لجمع أرقام PIN تستهدف 140 تطبيقاً مالياً وتطبيقاً للعملات المشفرة، مع إمكانية تحديث قائمة الأهداف ديناميكياً.
كما تستطيع البرمجية تقليد شاشة قفل أندرويد لالتقاط أرقام PIN وأنماط فتح الشاشة وكلمات المرور. ورصد الباحثون عينات استخدمت شاشات تحديث نظام مزيفة لإخفاء النشاط الخبيث الجاري على الجهاز.
استغلال Wireless ADB للحصول على وصول أوسع
من أبرز الإضافات في الإصدار محل التحليل أتمتة إساءة استخدام Android Debug Bridge، أو ADB. وتستفيد البرمجية من صلاحيات Accessibility Service لتمكين خيارات المطور، وتفعيل ميزة Wireless Debugging، ثم استخراج رمز الاقتران المؤلف من ستة أرقام ورقم المنفذ والاتصال بخدمة ADB المحلية عبر شبكة Wi-Fi.
بعد الحصول على صلاحيات مستخدم الصَدَفة، تنفذ البرمجية أوامر مباشرة عبر عفريت ADB، وفق شرح Zimperium. ويتيح ذلك تجاوز بعض طلبات الموافقة المعتادة في أندرويد، ومنح نفسها صلاحيات واسعة، وتعطيل قيود تشغيل التطبيقات في الخلفية، وتمكين مكونات مهمة بصمت، وفرض آليات للاستمرارية.
ما الذي يعنيه ذلك لمستخدمي أندرويد؟
يشير التطور في ToxicPanda إلى انتقال البرمجيات الخبيثة على أندرويد من أساليب سرقة بيانات الاعتماد فقط إلى محاولة التحكم في مسار حماية الجهاز نفسه. كما أن استخدام إعدادات خاصة بالشركات المصنّعة عبر الأمر autoBoot يساعد البرمجية على تجاوز إجراءات توفير البطارية التي قد توقف العمليات الخلفية لدى Xiaomi وOPPO وVivo وSamsung وHuawei.
ويظل استغلال Wireless ADB اتجاهاً متنامياً بين برمجيات أندرويد الخبيثة، إذ أبلغت Group-IB سابقاً عن آلية مشابهة في إصدار حديث من RedHook. ونشرت Zimperium قائمة بمؤشرات الاختراق المرتبطة بإصدار ToxicPanda الأحدث في مستودع GitHub. وتتمثل النقطة العملية الأهم في أن منح تطبيق غير موثوق صلاحيات VPN أو إمكانية الوصول أو تفعيل خيارات المطور قد يتيح له تعطيل طبقات حماية متعددة دفعة واحدة، لكن المصدر لا يحدد عدد الأجهزة المصابة أو الجهات التي تقف وراء الحملة، وهي معلومات ما تزال مفتوحة للمراجعة.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.