34 عائلة من البرمجيات الخبيثة تستهدف 1243 تطبيقاً بنكياً على نظام Android

تستهدف برمجيات Android banking malware الخبيثة حالياً أكثر من 1200 تطبيق مالي حول العالم، محولةً الهواتف الذكية الموثوقة إلى أدوات صامتة لتنفيذ عمليات الاحتيال المالي. ويكشف تحليل أمني جديد أن 34 عائلة مختلفة من البرمجيات الخبيثة مجهزة الآن لتجاوز المصادقة متعددة العوامل وسرقة الحسابات مباشرة من جهاز الضحية. وبدلاً من اختراق خوادم البنوك، تركز هذه الهجمات بالكامل على اختراق جلسة المستخدم النشطة.

وبحسب النتائج الإقليمية التي توصل إليها فريق zLabs التابع لشركة Zimperium، فإن نطاق هذه الهجمات هائل ويمتد عبر 90 دولة. ورغم الانخفاض الطفيف في إجمالي عدد التطبيقات المستهدفة مقارنة بعام 2023، إلا أن النطاق الجغرافي والتنوع الكبير في عائلات البرمجيات الخبيثة قد اتسع بشكل ملحوظ. علاوة على ذلك، ارتفعت المعاملات المالية الاحتيالية المدفوعة ببرمجيات نظام Android بنسبة 67% على أساس سنوي، مما يبرز أزمة متصاعدة في أمن الهواتف المحمولة.

تستحوذ منطقة أوروبا والشرق الأوسط وأفريقيا (EMEA) على الغالبية العظمى من مشهد التهديدات المرصودة، مع استهداف أكثر من 800 تطبيق بنكي ومالي عبر 44 دولة في المنطقة. وتتصدر المملكة المتحدة القائمة الإقليمية بـ 72 تطبيقاً مستهدفاً، تليها إسبانيا بـ 65 تطبيقاً، ثم إيطاليا بـ 57، وتركيا بـ 56، وألمانيا بـ 55 تطبيقاً. وفي منطقة الشرق الأوسط، تتصدر الإمارات العربية المتحدة القائمة بـ 38 تطبيقاً مستهدفاً.

ويهيمن على بيئة البرمجيات الخبيثة عائلات متخصصة للغاية تشترك في قوائم أهداف متداخلة. وتستهدف عائلة TsarBot وحدها 450 تطبيقاً بنكياً في المنطقة، معتمدة على تسجيل الشاشة وإساءة استخدام خدمات إمكانية الوصول (Accessibility Services). أما عائلة CopyBara، التي تستهدف 446 تطبيقاً، فتعتمد بشكل كبير على الهندسة الاجتماعية (Social Engineering) عبر الهاتف والنماذج الديناميكية. في حين تستهدف عائلة Hook نحو 385 تطبيقاً من خلال نشر حوسبة الشبكة الافتراضية لمشاركة الشاشة الحية والوصول عن بُعد.

وفي الولايات المتحدة، يتصاعد التهديد أيضاً. فقد أحصى تقرير Banking Heist لعام 2026 استهداف 162 تطبيقاً بنكياً أمريكياً بشكل نشط، وهو ارتفاع ملحوظ مقارنة بـ 109 تطبيقات في عام 2023. وتستخدم متغيرات متخصصة أخرى، مثل FluBot وCabassous، حيل التوصيل والخدمات اللوجستية الأوروبية لخداع المستخدمين وبدء سلسلة الإصابة.

يبدأ مسار الهجوم الشائع قبل وقت طويل من فتح المستخدم لتطبيقه البنكي. عادةً ما يقوم الضحية بتثبيت حزمة خبيثة عبر تنزيل وهمي، أو رابط تصيد احتيالي، أو رسالة خادعة. وبمجرد التثبيت، تسعى البرمجية الخبيثة بشراسة للحصول على أذونات تكشف الإشعارات، أو الرسائل النصية، أو محتوى الشاشة، أو وظائف إمكانية الوصول.

وعندما يحاول المستخدم تسجيل الدخول إلى تطبيقه البنكي الشرعي، تنشر البرمجية الخبيثة شاشة تسجيل دخول مزيفة (Overlay) لسرقة بيانات الاعتماد. ولأن البرمجية تمتلك حق الوصول إلى الإشعارات أو الرسائل القصيرة، يمكنها بسهولة اعتراض رموز المصادقة لمرة واحدة. يخلق هذا نقطة عمياء ضخمة لأنظمة مكافحة الاحتيال على الخوادم، حيث يسجل البنك عملية تسجيل دخول من هاتف العميل المعتاد، تليها إجراءات تُنفذ داخل ما يبدو أنه جلسة شرعية.

وتسمح امتيازات إمكانية الوصول للبرمجية الخبيثة بقراءة عناصر الشاشة، والضغط على الأزرار، والموافقة على المطالبات بشكل مستقل. كما تتيح وظائف التحكم عن بُعد للمهاجم التصرف مباشرة عبر جهاز الضحية. وقد تضمنت حالة واقعية مشابهة شبكة بلجيكية يُزعم أنها استخدمت مكالمات هاتفية وبرمجيات وصول عن بُعد في عملية تصيد احتيالي تجاوزت قيمتها 500 ألف يورو.

رغم أن الذكاء الاصطناعي التوليدي (Generative AI) لم يبتكر طرقاً جديدة للاحتيال البنكي، إلا أنه سرّع بشكل كبير من وتيرة ونطاق هذه الهجمات. ويستغل المهاجمون الذكاء الاصطناعي لترجمة وتوطين رسائل الخداع، وكتابة نصوص الاستغلال البرمجية، وإنشاء صفحات تصيد مقنعة للغاية تحاكي التطبيقات المالية الحقيقية بدقة.

ويقدم تقرير تحقيقات خرق البيانات لعام 2026 من Verizon دعماً أوسع لهذا الاتجاه، مشيراً إلى أن استغلال الثغرات الأمنية أصبح نقطة الدخول في 31% من الاختراقات. ويوضح التقرير صراحةً أن الذكاء الاصطناعي يقلص الوقت اللازم لتحويل الثغرات المعروفة إلى أسلحة. علاوة على ذلك، حققت هجمات الهندسة الاجتماعية عبر الرسائل النصية والمكالمات معدل نجاح أعلى بنسبة 40% مقارنة بالتصيد التقليدي عبر البريد الإلكتروني.

ويقوم الذكاء الاصطناعي بضغط مراحل متعددة من العملية في ثوانٍ معدودة. إذ يمكنه تكييف رسالة خبيثة مع لهجة محلية، واستنساخ صفحة تسجيل الدخول الخاصة بالبنك، وتعديل الكود الأساسي للتهرب من اكتشاف التوقيعات، وإنشاء نطاقات جديدة فور حظر النسخ السابقة من قبل الباحثين الأمنيين.

نظراً لأن هذه العائلات من البرمجيات الخبيثة تعتمد على خداع المستخدمين لمنح أذونات مفرطة، فإن الدفاع عن جهازك يتطلب تحكماً صارماً في ما يمكن للتطبيقات الوصول إليه. اتبع هذه الخطوات العملية لتأمين هاتفك الذكي ضد اختراق الجلسات:

1. قيّد خدمات إمكانية الوصول (Accessibility Services) فوراً. يضمن هذا منع التطبيقات الخبيثة من قراءة شاشتك، واعتراض رموز المصادقة الثنائية، والنقر التلقائي على مطالبات الموافقة دون علمك.
2. عطّل القدرة على تثبيت التطبيقات من مصادر غير معروفة. يضمن هذا تنزيل التطبيقات فقط من متجر Google Play الرسمي، مما يقلل بشكل كبير من خطر التحميل الجانبي لحزمة خبيثة.
3. اسحب صلاحيات الوصول إلى الرسائل القصيرة والإشعارات للتطبيقات غير الضرورية. يوقف هذا التطبيقات الخلفية من قراءة كلمات المرور لمرة واحدة ورموز المصادقة الواردة بصمت.
4. فعّل ميزة Google Play Protect وأبقها نشطة. يسمح هذا لجهازك بالبحث المستمر عن توقيعات البرمجيات الخبيثة المعروفة والسلوكيات المشبوهة قبل أن يتمكن التطبيق من تنفيذ حمولته.

يكشف الارتفاع البالغ 67% على أساس سنوي في المعاملات الاحتيالية عن خلل جوهري في كيفية تعامل الصناعة المالية مع أمن الهواتف المحمولة. فالمصادقة متعددة العوامل التقليدية تصبح عديمة الجدوى فعلياً عندما يكون الجهاز الذي يتلقى الرمز هو نفس الجهاز الذي ينفذ الهجوم. لقد نجحت البرمجيات الخبيثة في تحويل هاتف المستخدم الموثوق إلى سطح الهجوم الأساسي، مما يجعل التحويلات الاحتيالية تبدو مطابقة تماماً لسلوك العميل الشرعي.

ويضع هذا التحول ضغوطاً هائلة على المؤسسات المالية للتطور إلى ما هو أبعد من مجرد تقوية التطبيقات. ومع دفع الأطر التنظيمية مثل قانون DORA (الذي بدأ تطبيقه عبر الاتحاد الأوروبي في يناير 2025) نحو إدارة أفضل لمخاطر تكنولوجيا المعلومات والاتصالات، يجب على البنوك البدء في دمج بيانات القياس عن بُعد للجهاز مع بيانات المعاملات. إن أداة التحكم في وقت التشغيل التي تكتشف مشاركة الشاشة أو أطر العمل الخبيثة لا تكون ذات قيمة إلا إذا أدت فوراً إلى تأخير التحويلات الكبيرة في الأنظمة الخلفية.

في النهاية، لم يعد المقياس المهم هو عدد التطبيقات المدرجة في كتالوج التهديدات، بل مدى سرعة تجميد الجلسة المخترقة. وإلى أن تتمكن البنوك من ربط إشارات الجهاز غير الطبيعية بمخاطر المعاملات بسلاسة في الوقت الفعلي، ستستمر برمجيات البنوك الخبيثة على نظام Android في استغلال الفجوة بين أمان الجهاز وتفويض الحساب.