برنامج التجسس ClayRat
ظهرت حملة تجسس سريعة التطور على نظام أندرويد، تُعرف باسم ClayRat، كتهديد خطير للمستخدمين، وخاصة في روسيا. يستغل المهاجمون قنوات تيليجرام ومواقع تصيد احتيالية مشابهة، منتحلين صفة تطبيقات شائعة مثل واتساب، وصور جوجل، وتيك توك، ويوتيوب، لإغراء الضحايا بتثبيت البرنامج الخبيث.
جدول المحتويات
كيف ينتشر ClayRat
تبدأ سلسلة الهجمات عندما يُعاد توجيه المستخدمين غير المنتبهين إلى مواقع ويب احتيالية مرتبطة بقنوات تيليجرام التي يسيطر عليها المهاجمون. هنا، يُخدع الضحايا لتنزيل ملفات APK ضارة من خلال:
- أعداد التنزيلات المتضخمة بشكل مصطنع
- شهادات ملفقة تدعي شعبية التطبيق
تتظاهر بعض المواقع الضارة بتقديم إصدارات محسنة من التطبيقات الشائعة، مثل YouTube Plus، وتستضيف ملفات APK المصممة لتجاوز تدابير الأمان على الأجهزة التي تعمل بنظام Android 13 والإصدارات الأحدث.
تعمل بعض عينات ClayRat كمُرسِلات، حيث تُقدّم تطبيقًا خفيف الوزن بشاشة تحديث مزيفة لمتجر Play. الحمولة الفعلية مُشفّرة ومُخفاة داخل أصول التطبيق، مما يسمح للبرمجية الخبيثة بتجاوز قيود المنصة وزيادة معدلات نجاح التثبيت.
القدرات الخبيثة
بمجرد التثبيت، يقوم ClayRat بتنشيط مجموعة من الوظائف التطفلية:
- يقوم باستخراج رسائل SMS، وسجلات المكالمات، والإشعارات، ومعلومات الجهاز
- التقاط الصور باستخدام الكاميرا الأمامية
- يرسل رسائل نصية قصيرة أو يقوم بإجراء مكالمات مباشرة من الجهاز المصاب
- يقوم بجمع قائمة بجميع التطبيقات المثبتة ويرسلها إلى خادم الأوامر والتحكم (C2)
وينتشر البرنامج الخبيث أيضًا بقوة عن طريق إرسال روابط ضارة إلى كل جهة اتصال في دفتر هاتف الضحية، مما يؤدي فعليًا إلى تحويل الأجهزة المصابة إلى عقد توزيع آلية.
التطور التقني
رصد باحثو الأمن أكثر من 600 عينة و50 عينة من ClayRat خلال التسعين يومًا الماضية. كل تكرار جديد يضيف طبقات من التعتيم، مما يزيد من صعوبة الكشف.
يعتمد التواصل مع البنية التحتية C2 على بروتوكولات HTTP القياسية، ويطلب البرنامج الخبيث من المستخدمين جعله تطبيق الرسائل النصية القصيرة الافتراضي للوصول إلى المحتوى الحساس ووظائف المراسلة. تتيح هذه الإمكانيات للمهاجمين إجراء مراقبة وتوسيع نطاق البرنامج الخبيث دون تدخل يدوي.
التدابير الوقائية
على الرغم من قوته، يُخفف Google Play Protect من خطر ClayRat، وهو مُفعّل افتراضيًا على الأجهزة المزوّدة بخدمات Google Play. يحمي Play Protect المستخدمين تلقائيًا من الإصدارات المعروفة من البرامج الضارة.
يُمثل ClayRat تهديدًا مزدوجًا: فهو يتجسس على الضحايا، وفي الوقت نفسه يُحوّل أجهزتهم إلى أدوات لنشر المزيد من البرامج الضارة. إن مزيجه من الهندسة الاجتماعية، وتقنيات التهرب المتقدمة، والتوزيع الآلي يجعله خصمًا قويًا في مشهد تهديدات أندرويد.
