رصدت شركة أمن الأجهزة المحمولة Zimperium برمجية خبيثة جديدة لأجهزة أندرويد باسم Mantax Otax، تجمع بين وظائف برمجيات الفدية والتجسس والتحكم عن بُعد، إضافة إلى أدوات تهدف إلى مضايقة الضحايا ودفعهم إلى الاستجابة لمطالب الفدية. ووفق المعلومات المتاحة، يوزع مشغلون إندونيسيون البرمجية عبر ملفات APK ضارة مستضافة خارج Google Play، مستخدمين رسائل التصيد والهندسة الاجتماعية لاستدراج المستخدمين إلى تثبيتها.
بعد التثبيت، تطلب Mantax Otax الوصول إلى خدمة Accessibility، وهي صلاحية تمنح التطبيق قدرة واسعة على التفاعل مع واجهة الجهاز وتنفيذ إجراءات نيابة عن المستخدم. كما تحصل البرمجية على نطاق خادم القيادة والتحكم من GitHub، ثم ترسل إلى المشغلين معلومات تشمل الموقع وشركة الاتصالات وإصدار أندرويد ومعرّف الجهاز. ويمكن للخادم إرسال الأوامر باستخدام Firebase أو WebSockets.
تشفير يستهدف الإصدارات الأقدم
يعمل مكوّن الفدية على أجهزة أندرويد التي تستخدم الإصدار 9 أو الإصدارات الأقدم. تبحث البرمجية في مساحة التخزين المشتركة عن أنواع محددة من الملفات، ثم تشفّرها باستخدام مفتاح AES خاص بالضحية تحصل عليه من خادم القيادة والتحكم. بعد ذلك تحذف الملفات الأصلية وتضيف الامتداد .enc إلى النسخ المشفرة.
كما تستبدل الصور المحلية بإشعارات فدية، وتفتح واجهة محادثة بملء الشاشة مستضافة عبر Firebase لتسهيل التفاوض مع الضحية. وتمكن باحثو Zimperium من استغلال إعداد غير صحيح في خادم Firebase، ما أدى إلى كشف المحادثات التي جرت بين المهاجمين والضحايا.
ويعود قصر وظيفة التشفير على أندرويد 9 والأقدم إلى أن ميزة Scoped Storage، التي ظهرت في أندرويد 10 والإصدارات الأحدث، تحد بدرجة كبيرة من قدرة البرمجية على تشفير الملفات خارج مجلدات التطبيقات.
تجسس واسع وتحكم في الجهاز
لا تقتصر Mantax Otax على تشفير الملفات. فهي تستطيع سرقة رمز PIN لشاشة القفل للمساعدة في الحفاظ على الوصول، وقراءة الرسائل النصية ورموز المرور لمرة واحدة، والوصول إلى سجلات المكالمات وجهات الاتصال وسجل التصفح وقائمة التطبيقات ومعلومات حساب Google والموقع.
وتشير النتائج إلى قدرتها أيضاً على استخراج ملفات تعريف ومحادثات WhatsApp ومحادثات Telegram عبر محاكاة تفاعلات المستخدم باستخدام خدمة Accessibility. كما تستغل واجهة MediaProjection لالتقاط لقطات الشاشة وتسجيل مقاطع فيديو بصيغة MP4 وبث شاشة الجهاز شبه لحظياً عبر خدمة استضافة الملفات Catbox، إلى جانب التقاط الصور بواسطة كاميرات الجهاز ورفعها إلى المشغل.
الترهيب كجزء من الهجوم
أضاف الإصدار الثاني من البرمجية وظائف ضغط نفسي تشمل عرض مربعات حوار متكررة، وتشغيل مقاطع فيديو بملء الشاشة، وإظهار صور مفاجئة بسرعة، وتشغيل رسائل نصية إلى كلام يتحكم بها المهاجم عبر مكبرات الصوت. وتحوّل هذه الوظائف الهجوم من محاولة ابتزاز قائمة على تشفير الملفات إلى أسلوب ترهيب مباشر يهدف إلى زيادة الضغط على الضحية.
ما الذي يهم مستخدمي أندرويد؟
تكمن أهمية هذه الحالة في اجتماع عدة قدرات حساسة داخل برمجية واحدة: تشفير الملفات، سرقة بيانات الاعتماد والاتصالات، مراقبة الشاشة والكاميرا، والتحكم في الجهاز. لكن نطاق التشفير المذكور محدود عملياً بالأجهزة التي تعمل بأندرويد 9 أو أقدم، كما تقول Zimperium إن الأجهزة المحدثة التي يكون Play Protect مفعلاً عليها تكتشف Mantax Otax وتحظرها.
وتتمثل الإجراءات المباشرة التي يثبتها المصدر في تجنب تثبيت ملفات APK من خارج Google Play، وعدم منح تطبيقات غير موثوقة صلاحية Accessibility، والاعتماد على ناشرين معروفين. ولا يلغي ذلك الحاجة إلى مراجعة مصدر التطبيق والصلاحيات المطلوبة، لأن نقطة الدخول الأساسية في هذه الحملة هي إقناع المستخدم بتثبيت الحزمة الضارة ومنحها وصولاً واسعاً إلى الجهاز.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.