تخترق سلالة جديدة ومتطورة من البرمجيات الخبيثة هواتف أندرويد (Android) لسرقة بيانات الاعتماد المصرفية عبر تسليح أدوات المطورين الخاصة بنظام التشغيل. وتمنح برمجية RedHook الخبيثة، التي اكتشفتها شركة Group-IB للأمن السيبراني، قراصنة الإنترنت تحكماً عن بُعد غير مسبوق في الأجهزة المصابة.
وعلى عكس التهديدات التقليدية، تستغل هذه البرمجية ميزة تصحيح الأخطاء اللاسلكي (Wireless Debugging) - وهي أداة مخصصة عادةً للمطورين - للوصول إلى عمق النظام دون الحاجة إلى اتصال فعلي بجهاز كمبيوتر. ويبدأ المهاجمون عملية الاختراق عبر الهندسة الاجتماعية، باستخدام مكالمات هاتفية ورسائل تنتحل صفة بنوك أو جهات حكومية.
وتستهدف الحملة حالياً المستخدمين في فيتنام وإندونيسيا، حيث توجّه الضحايا إلى مواقع ويب احتيالية مصممة لتبدو وكأنها متجر Google Play. ومن هناك، يتم خداع المستخدمين لتنزيل تطبيقات خبيثة مستضافة على خوادم سحابية شرعية مثل منصة GitHub وخدمات Amazon.
وبمجرد التثبيت، تعرض البرمجية شاشات مزيفة لخداع المستخدمين وحثهم على منح أذونات الوصول (Accessibility). بعد ذلك، تقوم بتشغيل إعدادات المطور المخفية بصمت في الخلفية، وتربط الهاتف بنفسه لتأسيس تحكم عالي المستوى.
تستغل برمجية RedHook ميزة تصحيح الأخطاء اللاسلكي عبر أداة تصحيح أندرويد (ADB) للحصول على صلاحيات مستوى الصدفة (Shell). ومع هذا الوصول، يمكن للمهاجمين سرقة كلمات المرور، وبث الشاشة، والتقاط رموز قفل الشاشة، وإنشاء مربعات حوار مزيفة لسرقة المعلومات المصرفية.
- شركة Group-IB
وللتهرب من الاكتشاف والنجاة من محاولات الإزالة، تستخدم برمجية RedHook حيل بقاء متقدمة. وتشمل هذه التقنيات تشغيل نشاط شاشة غير مرئي تقريباً بحجم بكسل واحد، وتشغيل مقاطع صوتية صامتة، واستخدام خدمات مترابطة تعيد تشغيل بعضها البعض تلقائياً في حال إيقافها.
كيفية حماية جهازك من برمجية RedHook
نظراً لأن برمجية RedHook تعتمد على التلاعب بأدوات النظام المدمجة، يجب على المستخدمين اتخاذ خطوات استباقية لتأمين أجهزتهم ضد مسار الهجوم هذا.
- تعطيل خيارات المطور: تأكد من إيقاف تشغيل خيارات المطور (Developer Options)، وتحديداً ميزة تصحيح الأخطاء اللاسلكي (Wireless Debugging)، في إعدادات النظام ما لم تكن بحاجة فعلية إليها للبرمجة.
- مراجعة أذونات الوصول: تحقق بانتظام من التطبيقات التي تمتلك صلاحية استخدام أذونات الوصول (Accessibility)، وقم بإلغاء الأذونات لأي تطبيقات غير معروفة أو مشبوهة.
- تجنب التحميل الجانبي: لا تقم أبداً بتنزيل التطبيقات من الروابط المرسلة عبر الرسائل القصيرة أو مواقع الويب الخارجية، حتى لو كانت تحاكي المظهر الرسمي لمتجر Google Play.
خطورة تسليح أدوات النظام المشروعة
يمثل التحول من استغلال ثغرات يوم الصفر (Zero-day) إلى إساءة استخدام ميزات نظام التشغيل المشروعة مثل أداة تصحيح أندرويد (ADB) تطوراً خطيراً في البرمجيات الخبيثة للأجهزة المحمولة. ونظراً لأن هذه الأدوات مدمجة في نظام Android بشكل افتراضي، فإن برامج مكافحة الفيروسات التقليدية غالباً ما تواجه صعوبة في تصنيف نشاطها كتهديد أمني دون إطلاق إنذارات كاذبة للمطورين الفعليين.
وتجعل هذه التقنية المحدثة اكتشاف برمجية RedHook وإزالتها أصعب بكثير من فيروسات حصان طروادة (Trojan) المالية المعتادة. وقد تحتاج شركة Google إلى فرض حواجز مصادقة أكثر صرامة، أو مهلات زمنية تلقائية، أو مطالبات تأكيد فعلية لميزة تصحيح الأخطاء اللاسلكي لمنع هذا المسار من التحول إلى معيار أساسي للجرائم السيبرانية المالية.
