اكتشف باحثون برمجية أندرويد خبيثة جديدة باسم Hirudo تستهدف مستخدمي الخدمات المصرفية عبر استبدال التطبيقات البنكية الأصلية بنسخ معدلة داخل الجهاز. ووفق تقرير شركة أمن الأجهزة المحمولة ThreatFabric، تستخدم البرمجية محركاً لحقن التعليمات البرمجية بهدف تجاوز فحوصات توقيع التطبيقات وخدمات إمكانية الوصول وPlay Integrity.
رُصدت نسخ خبيثة من ثمانية تطبيقات مصرفية، بينها تطبيقات تخص سبعة بنوك إندونيسية على الأقل. كما استهدفت الحملة مؤسسات مالية في الصين والهند والمكسيك والمغرب وتايلاند، بينما لا يزال عدد الضحايا غير معروف.
كيف تصل Hirudo إلى الأجهزة؟
تصل البرمجية عادةً عبر تطبيقات تبدو طبيعية وتقدم وظائف للتسوق أو المحتوى الترفيهي، مثل Shopora و1V1 X وZoyaTV وKoiShort. تعمل هذه التطبيقات كبرامج تحميل للبرمجية، ثم تعرض إشعار تحديث مزيفاً يقود المستخدم إلى منحها أذونات إضافية، من بينها صلاحية Accessibility.
بعد تفعيل الصلاحية، يبدأ التطبيق الخبيث بإزالة تطبيق البنك الحقيقي، ثم ينزّل نسخة معدلة منه ويحاول تثبيتها. وتصف ThreatFabric العملية بأنها محفوفة بالمخاطر بالنسبة للمهاجم، إذ يمكن للمستخدم مقاطعتها في مرحلتين.
تحويل آليات الحماية إلى أداة تجاوز
تحتفظ النسخة المعدلة بمعظم الشيفرة الأصلية للتطبيق المصرفي، لكنها تضيف محركاً مبنياً على إطاري YAHFA وDobby مفتوحي المصدر. ويعمل المحرك داخل عملية التطبيق البنكي نفسه، ما يسمح له بالتلاعب بنتائج الفحوصات بدلاً من مهاجمة التطبيق من خارجه.
- استبدال شهادة التوقيع الأصلية عند الاستعلام عنها.
- إخفاء خدمات Accessibility المفعّلة.
- تعطيل حماية لقطات الشاشة، بما يسمح بالمشاهدة والتسجيل عن بُعد.
- تعديل شهادات التصديق المرتبطة بالمفاتيح وتمرير طلبات Play Integrity عبر خادم يسيطر عليه المشغلون.
ما الذي يمكن للمهاجمين سرقته؟
تستطيع Hirudo سرقة كلمات مرور الحسابات المصرفية ورموز الدفع السرية وأسرار فتح الجهاز ورسائل SMS، إضافة إلى بث شاشة الهاتف والتحكم في الكاميرتين. كما تستخدم صفحات دفع مزيفة لجمع رموز الدفع ثم تعرض نتيجة نجاح وهمية لإخفاء عملية سرقة البيانات.
وجدت ThreatFabric آلاف السجلات التي تتضمن بيانات اعتماد التطبيقات في لوحة خلفية غير مؤمنة، إلى جانب بيانات الأجهزة وشاشات القفل والملفات المالية. ولا يحدد التقرير ما إذا كانت هذه البيانات تخص جميع الضحايا أو جزءاً منهم.
ما القيود وما الذي ينبغي فعله؟
لا تعمل أساليب التجاوز بلا قيود. فقد تسرّب مفتاح التصديق المضمّن علناً، كما أدرجت Google شهادتين منه ضمن الشهادات المخترقة، ما يتيح للخوادم اكتشاف عمليات التزوير عند تنفيذ فحوصات إبطال الشهادات من جانب الخادم.
ترى ThreatFabric أن Hirudo تمثل تصعيداً في أساليب برمجيات سرقة الحسابات المصرفية على أندرويد، لأنها تستهدف آليات الحماية داخل التطبيقات نفسها. وتقترح على البنوك إجراء التحقق من السلامة والتصديق على الخادم، وربط الفحوصات بالجلسات والعمليات الحساسة، والإبقاء على ضوابط السلوك ومخاطر المعاملات.
أما المستخدمون، فيُنصحون بتحديث أجهزتهم، وتجنب ملفات APK من المتاجر غير الرسمية، وإجراء فحوصات دورية باستخدام Play Protect.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.