حملات جديدة من برامج التجسس تستهدف مئات محافظ العملات المشفرة وتطبيقات الخدمات المصرفية

اكتشف باحثو الأمن السيبراني أربع عائلات نشطة من البرامج الضارة لنظام أندرويد تستهدف أكثر من 800 تطبيق، بما في ذلك محافظ العملات المشفرة وتطبيقات الخدمات المصرفية. وتستخدم هذه البرامج الضارة أساليب لا تستطيع معظم أدوات الأمان التقليدية اكتشافها.

أصدر فريق zLabs التابع لشركة Zimperium نتائج tracبرامج التجسس المعروفة باسم RecruitRat و SaferRat و Astrinox و Massiv.

وفقًا لأبحاث الشركة، تمتلك كل عائلة شبكة قيادة وتحكم خاصة بها تستخدمها لسرقة معلومات تسجيل الدخول، والاستيلاء على المعاملات المالية، والحصول على بيانات المستخدم من الأجهزة المصابة.

تواجه تطبيقات العملات المشفرة والتطبيقات المصرفية تهديدات جديدة من برامج خبيثة متعددة

تشكل عائلات البرامج الضارة تهديدًا مباشرًا لأي شخص يدير العملات المشفرة على نظام أندرويد.

بمجرد تثبيتها، تستطيع برامج التجسس وضع شاشات تسجيل دخول مزيفة فوق تطبيقات العملات الرقمية والتطبيقات المصرفية الحقيقية، لسرقة كلمات المرور وغيرها من المعلومات الخاصة في الوقت الفعلي. ثم تقوم هذه البرامج الخبيثة بوضع صفحة HTML مزيفة فوق واجهة التطبيق الحقيقية، مما يخلق ما وصفته الشركة بأنه "واجهة خادعة ومقنعة للغاية"

كتب باحثون أمنيون من شركة Zimperium: "باستخدام خدمات إمكانية الوصول لمراقبة الواجهة الأمامية، يكتشف البرنامج الخبيث اللحظة التي يقوم فيها الضحية بتشغيل تطبيق مالي".

بحسب التقرير، لا تقتصر قدرة برامج التجسس على سرقةdent، بل يمكنها أيضاً التقاط كلمات المرور لمرة واحدة، وبث شاشة الجهاز للمهاجمين، وإخفاء أيقونات تطبيقاتها، ومنع المستخدمين من إلغاء تثبيتها.

تستخدم كل حملة أسلوباً مختلفاً لجذب الناس وإيقاعهم في فخها.

انتشر برنامج SaferRat الخبيث عبر مواقع إلكترونية مزيفة تعد بالوصول المجاني إلى خدمات البث المدفوعة. أما برنامج RecruitRat، فقد أخفى حمولته الخبيثة ضمن عملية التقديم للوظائف، موجهاً الضحايا إلى مواقع تصيد احتيالي تطلب منهم تحميل ملف APK خبيث.

استخدمت شركة أسترينوكس نفس النوع من أساليب التوظيف القائمة على النطاق xhire[.]cc. وبحسب الجهاز المستخدم لزيارة ذلك الموقع، كان يعرض محتوى مختلفًا.

طُلب من مستخدمي أندرويد تنزيل ملف APK، بينما شاهد مستخدمو iOS صفحة تُشبه أبل . ومع ذلك، لم يجد باحثو الأمن أي دليل على اختراق نظام iOS.

لم يكن من الممكن التأكد من كيفية توزيع ماسيف خلال دورة البحث.

استخدمت جميع برامج التجسس الأربعة بنية تحتية للتصيد الاحتيالي، وعمليات الاحتيال عبر الرسائل النصية، والهندسة الاجتماعية التي استغلت حاجة الناس إلى التصرف بسرعة أو فضولهم لحملهم على تحميل تطبيقات ضارة من مصادر خارجية.

برامج خبيثة مشفرة تفلت من الكشف

تهدف هذه الحملات إلى التحايل على أدوات الأمان.

وجد الباحثون أن عائلات البرامج الضارة تستخدم تقنيات متقدمة مضادة للتحليل والتلاعب الهيكلي بحزم تطبيقات أندرويد (APKs) للحفاظ على ما وصفته الشركة بـ "معدلات اكتشاف شبه معدومة ضد آليات الأمان التقليدية القائمة على التوقيعات"

تتداخل اتصالات الشبكة أيضًا مع حركة البيانات العادية. تستخدم برامج التجسس اتصالات HTTPS وWebSocket للتواصل مع خوادم التحكم الخاصة بها. وتضيف بعض الإصدارات طبقات تشفير إضافية فوق هذه الاتصالات.

ومن الأمور المهمة الأخرى الاستمرارية. لم تعد برامج التجسس المصرفية الحديثة لنظام أندرويد تعتمد على عمليات إصابة بسيطة من مرحلة واحدة، بل تستخدم عمليات تثبيت متعددة المراحل تهدف إلى التحايل على نموذج الأذونات المتغير في نظام أندرويد، مما صعّب على التطبيقات القيام بأمور دون إذن صريح من المستخدم.

التقريرdentمحافظ العملات الرقمية أو منصات التداول ضمن التطبيقات المستهدفة التي يزيد عددها عن 800 تطبيق. ولكن نظرًا لهجمات التراكب، واعتراض كلمات المرور، وبث الشاشة، فإن أي تطبيق عملات رقمية يعمل بنظام أندرويد قد يكون عرضة للخطر إذا قام المستخدم بتثبيت ملف APK خبيث من خارج متجر جوجل بلاي.

لا يزال تنزيل التطبيقات من الروابط الموجودة في الرسائل النصية أو إعلانات الوظائف أو المواقع الترويجية أحد الطرق المؤكدة لدخول البرامج الضارة إلى الهواتف الذكية.

ينبغي على الأشخاص الذين يديرون عملاتهم المشفرة على أجهزة أندرويد استخدام متاجر التطبيقات الرسمية فقط، وأن يكونوا حذرين من الرسائل المنبثقة التي تطلب منهم تنزيل شيء ما.