حملات برمجيات خبيثة جديدة تهاجم مئات محافظ الكريبتو وتطبيقات البنوك

وجد باحثو الأمن السيبراني أربع عائلات نشطة من البرمجيات الخبيثة لنظام Android تستهدف أكثر من 800 تطبيق، بما في ذلك محافظ العملات الرقمية وتطبيقات البنوك. تستخدم هذه البرمجيات الخبيثة أساليب لا يمكن لأغلب أدوات الأمن التقليدية اكتشافها.

أصدرت فريق zLabs التابع لشركة Zimperium نتائج تتبع البرمجيات الخبيثة المعروفة باسم RecruitRat وSaferRat وAstrinox وMassiv.

ووفقاً لأبحاث الشركة، تمتلك كل عائلة شبكتها الخاصة للأوامر والتحكم (Command-and-control) التي تستخدمها لسرقة معلومات تسجيل الدخول، والاستيلاء على المعاملات المالية، والحصول على بيانات المستخدم من الأجهزة المصابة.

تطبيقات الكريبتو والبنوك تواجه تهديدات جديدة من برمجيات خبيثة متعددة

تُمثل عائلات البرمجيات الخبيثة تهديداً مباشراً لأي شخص يدير عملات رقمية على نظام Android.

بمجرد تثبيتها، يمكن للبرامج الضارة وضع شاشات تسجيل دخول مزيفة فوق تطبيقات التشفير والبنوك الحقيقية، وسرقة كلمات المرور وغيرها من المعلومات الخاصة في الوقت الفعلي. ثم تضع البرمجيات الخبيثة صفحة HTML مزيفة فوق واجهة التطبيق الحقيقية، مما يخلق ما وصفته الشركة بـ "واجهة خادعة مقنعة للغاية".

كتب باحثو الأمن من Zimperium: "باستخدام خدمات إمكانية الوصول لمراقبة التطبيق الأمامي، تكتشف البرمجيات الخبيطة اللحظة الدقيقة التي يشغل فيها الضحية تطبيقاً مالياً."

ووفقاً لـ التقرير، يمكن للبرمجيات الخبيثة (Trojans) القيام بأكثر من مجرد سرقة بيانات الاعتماد. فهي يمكنها أيضاً التقاط رموز المرور لمرة واحدة، وبث شاشة الجهاز إلى المهاجمين، وإخفاء أيقونات تطبيقاتها الخاصة، ومنع الأشخاص من إلغاء تثبيتها.

تستخدم كل حملة طُعم مختلفاً لإغراء الناس بالوقوع فيها.

انتشر SaferRat باستخدام مواقع ويب مزيفة وعدت بالوصول المجاني إلى خدمات البث المميزة. أخفى RecruitRat حمولته كجزء من عملية تقديم طلب وظيفة، حيث وجه الأهداف إلى مواقع تصيد تطلب منهم تنزيل ملف APK ضار.

استخدمت Astrinox نفس الأسلوب القائم على التوظيف، مستخدمة النطاق xhire[.]cc. وعرضت صفحات مختلفة حسب الجهاز المستخدم لزيارة الموقع.

طُلب من مستخدمي Android تنزيل ملف APK، ورأى مستخدمو iOS صفحة تشبه متجر Apple App Store. ومع ذلك، لم يجد باحثو الأمن أي دليل على اختراق iOS فعلياً.

لم يكن من الممكن تأكيد كيفية توزيع Malware Massiv خلال دورة البحث.

استخدمت جميع البرمجيات الخبيثة الأربعة بنية تحتية للتصيد الاحتيالي، وعمليات نصب عبر الرسائل النصية، وهندسة اجتماعية تستغل حاجة الناس للتحرك بسرعة أو فضولهم لتحميل تطبيقات ضارة.

برمجيات التشفير تتجنب الكشف

تهدف الحملات إلى تجاوز أدوات الأمان.

وجد الباحثون أن عائلات البرمجيات الخبيثة تستخدم تقنيات متقدمة لمقاومة التحليل وتشويهاً هيكلياً لحزم تطبيقات أندرويد (APKs) للحفاظ على ما وصفته الشركة بـ "معدلات كشف قريبة من الصفر ضد آليات الأمان التقليدية القائمة على التوقيعات".

كما تختلط الاتصالات بالشبكة مع حركة المرور العادية. تستخدم البرمجيات الخبيثة اتصالات HTTPS وWebSocket للتحدث مع خوادم الأوامر الخاصة بها. تضيف بعض الإصدارات طبقات إضافية من التشفير فوق هذه الاتصالات.

شيء آخر مهم هو الاستمرارية. لم تعد برمجيات البنوك الخبيثة الحديثة لأندرويد تستخدم عدوى بسيطة من مرحلة واحدة. بدلاً من ذلك، تستخدم عمليات تثبيت متعددة المراحل مصممة للتغلب على نموذج الأذونات المتغير في أندرويد، مما جعل من الصعب على التطبيقات القيام بالأشياء دون إذن صريح من المستخدم.

لم يحدد التقرير محافظ كريبتو أو منصات معينة ضمن أكثر من 800 تطبيق مستهدف. ولكن بسبب هجمات التراكب (Overlay attacks)، واعتراض رموز المرور، وبث الشاشة، يمكن أن يكون أي تطبيق كريبتو يعمل على نظام Android في خطر إذا قام المستخدم بتثبيت ملف APK ضار من خارج متجر Google Play.

يظل تنزيل التطبيقات من روابط في الرسائل النصية، أو الإعلانات الوظيفية، أو المواقع الترويجية أحد الطرق المؤكدة لدخول البرمجيات الخبيثة المحمولة إلى الهواتف الذكية.

يجب على الأشخاص الذين يديرون عملاتهم الرقمية على أجهزة أندرويد استخدام متاجر التطبيقات الرسمية فقط، والحذر من رسائل النوافذ المنبثقة التي تطلب منهم تنزيل شيء ما.