المهاجمون يسلمون تطبيق تيليجرام بالبرمجيات الخبيثة للسيطرة على النظام

ووفقاً للتقارير، يتم إرسال البرمجيات الخبيثة إلى الأجهزة عبر إعلانات مضللة داخل التطبيقات ومتاجر تطبيقات الطرف الثالث التي تتنكر كمنصات موثوقة للتعارف والاتصال. يمثل هذا التهديد تصعيداً كبيراً في توزيع البرمجيات الخبيثة على الهواتف المحمولة، حيث انتشر عبر 58,000 جهاز مصاب.

بالإضافة إلى ذلك، انتشرت عبر أكثر من 3,000 هاتف ذكي، وأجهزة لوحية، وصناديق تلفزيون، وبعض أنظمة المركبات القائمة على نظام أندرويد.

المهاجمون يسلحون تيليجرام بالبرمجيات الخبيثة للوصول

ويدعي التقرير أن توزيع البوابة الخلفية بدأ في عام 2024، مع استهداف المهاجمين بشكل أساسي للمستخدمين البرازيليين والإندونيسيين من خلال قوالب باللغة البرتغالية والإندونيسية. يواجه الضحايا إعلانات داخل التطبيق المحمول، والتي تحيلهم إلى كتالوجات تطبيقات مزيفة تحتوي على مراجعات مزيفة ولافتات ترويجية تعلن عن محادثات فيديو مجانية وفرص التعارف. تقدم هذه المواقع المزيفة تطبيقات مشبعة بـ البرمجيات الخبيثة التي تبدو مطابقة لتلك الشرعية.

بجانب المواقع الإلكترونية الخبيثة، اخترقت البوابة الخلفية أيضاً مستودعات الطرف الثالث الراسخة، بما في ذلك APKPure وApkSum وAndroidP، حيث يتم نشرها بشكل مضلل تحت اسم مطور التطبيق الرسمي على الرغم من وجود توقيع رقمي مختلف.

حدد المحللون أن البرمجيات الخبيثة لديها قدرة استثنائية على سرقة المعلومات السرية، بما في ذلك بيانات اعتماد تسجيل الدخول، وكلمات المرور، وسجلات الدردشة الكاملة. تخفي البوابة الخلفية أيضاً مؤشرات الحسابات المخترقة عن طريق إخفاء اتصالات الأجهزة الطرفية من قوائم جلسات تيليجرام النشطة.

بالإضافة إلى ذلك، لديها القدرة على إزالة أو إضافة ضحاياها إلى القنوات والدردشات دون موافقتهم، وإخفاء هذه الإجراءات تماماً، وتحويل الحسابات المخترقة إلى أدوات لزيادة عدد المشتركين في قنوات تيليجرام بشكل مصطنع.

ما يميزها عن التهديدات التقليدية لنظام أندرويد هو استخدامها لقاعدة بيانات Redis لعمليات القيادة والتحكم. اعتمدت الإصدارات السابقة من البرمجيات الخبيثة على خوادم C2 التقليدية، لكن المطورين قاموا بدمج أوامر قائمة على Redis.

البرمجيات الخبيثة ت manipulates الوظائف دون اكتشاف

يزعم التقرير أن البوابة الخبيثة تستخدم تقنيات متعددة للتحايل على وظائف التطبيق دون أن يتم اكتشافها. للعمليات التي لن تتداخل مع ميزات التطبيق الأساسية، يستخدم المهاجمون نسخاً مرآتية جاهزة مسبقاً لوظائف التطبيق، وهي كتل برمجية منفصلة مسؤولة عن مهام محددة داخل بنية برنامج أندرويد.

يتيح هذا المرآة للتطبيق عرض رسائل التصيد الاحتيالي داخل نوافذ تحاكي تماماً واجهات تيليجرام X الأصلية.

بالنسبة للعمليات الأخرى التي تتطلب تكاملاً أعمق، تستخدم البرمجيات الخبيثة إطار عمل Xposed لتعديل طرق التطبيق، مما يتيح قدرات مثل إخفاء الدردشات المحددة، وإخفاء الأجهزة المصرح بها، والتقاط محتويات الحافظة. تستخدم البرمجيات الخبيثة البوابة الخلفية قنوات Redis وخوادم C2 لتلقي أوامر واسعة النطاق، بما في ذلك رفع رسائل SMS، وجهات الاتصال، ومحتويات الحافظة كلما قام المستخدم بتصغير أو استعادة نافذة التطبيق.

يستخدم المهاجمون مراقبة الحافظة لسرقة البيانات، مثل كلمات مرور محافظ العملات المشروطة، والعبارات الاستردادية، أو الاتصالات التجارية السرية التي تم الكشف عنها دون علم. تجمع البوابة الخبيثة معلومات الجهاز، وبيانات التطبيقات المثبتة، وسجلات الرسائل، ورموز المصادقة، وتنقل المعلومات إلى المهاجمين كل ثلاث دقائق مع الحفاظ على مظهر عملية تطبيق تيليجرام الطبيعية.