اكتشف باحثو مختبرات zLabs التابعين لـ Zimperium برمجية خبيثة جديدة لنظام أندرويد باسم RatHat، تستخدم نظاماً فرعياً مدعوماً بالذكاء الاصطناعي لمساعدة مشغليها على التنقل داخل الأجهزة المصابة وتنفيذ أوامر عن بُعد. وتنتشر البرمجية، بحسب الباحثين، عبر الإعلانات الخبيثة والرسائل النصية ومواقع التصيد التي تروّج لملفات APK خارج متجر Google Play.
يعتقد الباحثون أن RatHat قد تكون مرتبطة بجهات تهديد من الصين، بعدما عثروا على مطالبات موجهة إلى نماذج لغوية كبيرة ومكتوبة بالصينية. لكن هذه الملاحظة لا تمثل إسناداً نهائياً للحملة أو لمشغليها، بل قرينة ضمن تحليل البرمجية.
تحكم أعمق عبر صلاحيات أندرويد
تعتمد RatHat، مثل عائلات خبيثة أخرى على أندرويد، على إساءة استخدام صلاحيات خدمات إمكانية الوصول لتنفيذ إجراءات عالية الامتياز. والأكثر أهمية أنها تفعّل خيارات المطور وخاصية التصحيح اللاسلكي، ما يتيح إنشاء سياق تنفيذ محلي بمستوى صلاحيات ADB shell من دون الحاجة إلى حاسوب خارجي، في أسلوب يشبه آليات ظهرت في برمجيات ToxicPanda وRedHook.
بعد الحصول على وصول ADB، تثبّت البرمجية عميلاً مبنياً بلغة Go داخل الملف liblocal-service.so. وينفذ هذا العميل أوامر بصلاحيات ADB shell، ويتجاوز قيود البطارية، ويدير آليات البقاء على الجهاز. كما يمكنه إعادة البرمجية إذا أزيلت أو أوقفت، بينما تستطيع RatHat بدورها إعادة تثبيت العميل، ما ينشئ قناة احتياطية متبادلة للاستمرارية.
ويعمل عميل ثانٍ، هو libmedia_codec.so، كعميل وكيل عكسي لـ FRP لإنشاء نفق مستمر يصل الجهاز بالمهاجم.
ما الذي يضيفه الذكاء الاصطناعي؟
تسلسل RatHat شجرة إمكانية الوصول الحية في أندرويد بصيغة XML، ثم يرسلها إلى مساعد ذكاء اصطناعي لم يسمّه تقرير Zimperium. ويُطلب من النظام تحديد الإحداثيات الوسطية لعنصر معين في الواجهة، واستخراج النص الظاهر فعلياً، وإرجاع تعليمات تنقل مثل SCROLL_DOWN.
عملياً، يتيح هذا النهج للبرمجية التعامل مع واجهات متغيرة بمرونة أكبر من السيناريوهات المعتمدة بالكامل على نصوص ثابتة، كما يقلل الحاجة إلى تفاعل مباشر ومستمر من المشغل. وتقول Zimperium إن هذا يجعل التحكم أكثر تكيفاً، وقد يصعّب اكتشافه مقارنة بالأتمتة التقليدية القائمة على إجراءات محددة مسبقاً.
سرقة البيانات ومقاومة الإزالة
تعرض RatHat طبقات HTML فوق تطبيقات مصرفية وتطبيقات العملات المشفرة لاستدراج الضحايا إلى إدخال بيانات الحساب. كما تعترض الرسائل النصية والإشعارات، بما في ذلك رموز المرور لمرة واحدة، وتسجل أحداث تغيير النص، وتستخرج عناوين URL من شريط المتصفح، وتلتقط أرقام PIN وكلمات المرور وأنماط فتح القفل.
وتعترض البرمجية شاشة تأكيد إلغاء التثبيت لإلغاء العملية، ثم تعرض طبقة مزيفة تحاكي Google Play وتقدم رسالة خطأ غير حقيقية. ويضاف إلى ذلك عدد من تقنيات مكافحة التحليل، مثل العبث بحاوية APK، وملف بيان Android متضخم حجمه 61 ميغابايت، وتعليمات DEX زائفة أو غير صالحة تهدف إلى إرباك أدوات التحليل أو تعطيلها.
ما الذي يعنيه ذلك للمستخدمين؟
لا يثبت استخدام الذكاء الاصطناعي وحده أن البرمجية تتجاوز كل وسائل الحماية، لكنه يغير نقطة الضعف العملية: فالتحكم لا يعتمد فقط على مسارات ثابتة يمكن توقعها. لذلك تظل مصادر تثبيت التطبيقات وصلاحيات إمكانية الوصول عاملين حاسمين. توصي Zimperium بعدم تثبيت ملفات APK من خارج Google Play إلا عند الثقة الصريحة بالناشر، وتجنب منح صلاحيات إمكانية الوصول للتطبيقات غير الضرورية، وإجراء فحوص دورية باستخدام Play Protect.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.