اكتشف باحثو ThreatFabric برمجية خبيثة جديدة لنظام أندرويد تحمل اسم Hirudo، وتجمع بين وظائف حصان مصرفي تقليدي وقدرات أداة تحكم عن بُعد كاملة. وتستهدف البرمجية حالياً ثمانية تطبيقات مصرفية إندونيسية، مع مؤشرات داخلية على إمكانية تكييفها لاستهداف بنوك في الصين والهند والمكسيك والمغرب وتايلاند.
لا تكتفي Hirudo بسرقة بيانات الدخول من الجهاز، بل تتيح للمهاجم مشاهدة الشاشة مباشرة عبر WebRTC، والتحكم في الهاتف من خلال خدمات إمكانية الوصول، والوصول إلى الكاميرتين الأمامية والخلفية. كما تجمع الرسائل النصية، بما في ذلك فحص أولي يمتد إلى 90 يوماً وقائمة محددة من مرسلي البنوك والمحافظ.
كيف تصل البرمجية إلى الهاتف؟
تُوزَّع Hirudo عبر أداة إسقاط مضمّنة داخل تطبيقات تبدو أصلية، مثل تطبيق للتسوق أو مشاهدة مقاطع للبالغين أو الدراما القصيرة، ويجري الترويج لها عبر وسائل التواصل الاجتماعي. بعد تثبيت التطبيق، تتحقق أداة الإسقاط من وجود Hirudo على الجهاز، ثم تثبت الحمولة الخبيثة إذا لم تكن موجودة.
عند اكتشاف تطبيق مصرفي إندونيسي محدد، تعرض البرمجية مطالبة تحديث مزيفة، ثم تزيل التطبيق الحقيقي وتنزّل نسخة معدلة منه مرتبطة بالبنك المستهدف. وبهذا يبدو للمستخدم أنه يتعامل مع التطبيق المصرفي المعتاد، بينما تعمل النسخة المزيفة كواجهة للسرقة والتحكم.
تحايل على فحوص السلامة داخل التطبيق
تتضمن النسخة المعدلة محركاً لاعتراض استدعاءات التطبيق، بهدف تعطيل فحوص التوقيع الرقمي وخدمات إمكانية الوصول والتقاط الشاشة وPlay Integrity من داخل التطبيق نفسه. ووفق الباحثين، يمكن للمحرك استبدال شهادة التوقيع التي يطلبها أندرويد بالشهادة الأصلية، وإخفاء توقيع الاختبار، كما يعيد قائمة فارغة عند الاستعلام عن خدمات إمكانية الوصول، ما يجعل خدمة المهاجم غير مرئية للفحص.
تكمن أهمية هذا الأسلوب في نقل المواجهة من فحوص الجهاز إلى آليات النزاهة داخل التطبيق المستبدل نفسه. لذلك فإن الإشارات التي ينتجها تطبيق جرى استبداله لا يمكن اعتبارها موثوقة بمفردها، كما أن قابلية إعادة استخدام المحرك قد تسهّل توجيه الهجوم إلى تطبيقات ومناطق أخرى.
ما الذي ينبغي أن تراجعه المؤسسات المالية؟
- التحقق من Play Integrity وفرض نتائجه على الخادم، مع عدم اعتبار النتيجة الصحيحة وحدها دليلاً كافياً، إذ قد تمرر Hirudo طلبات التحقق عبر خادمها.
- استخدام تحليلات سلوكية متعددة الطبقات لرصد الأنماط الاحتيالية، مع التعامل مع غياب البيانات السلوكية كإشارة تستحق الفحص.
- اعتبار إشارات إمكانية الوصول والتقاط الشاشة أدلة مساندة لا شروط حظر منفردة، وإدخالها ضمن احتساب المخاطر.
- الإبقاء على ضوابط مخاطر المعاملات في تسجيل الدخول واستعادة بيانات الاعتماد وإنشاء المستفيد والموافقة على الدفع، لأن نتيجة محلية مزورة لا يمكن أن تحل محل قرار الخادم.
التحذير العملي للمؤسسات هو أن الاعتماد على فحص واحد داخل التطبيق لم يعد كافياً عندما تستطيع البرمجية الخبيثة استبدال التطبيق نفسه وإخفاء مكونات التحكم. وتظل التفاصيل المتاحة عن مشغلي Hirudo وحجم الإصابات غير مذكورة في المادة المصدرية، ما يحد من تقدير نطاق الحملة الفعلي.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.