برنامج DroidBot الخبيث للأجهزة المحمولة

أحدث تهديد مصرفي جديد ومثير للقلق على نظام أندرويد، يُعرف باسم DroidBot، ضجة كبيرة من خلال استهداف بورصات العملات المشفرة وتطبيقات الخدمات المصرفية في المملكة المتحدة وإيطاليا وفرنسا وإسبانيا والبرتغال. تم الكشف عن DroidBot في البداية من قبل باحثي الأمن السيبراني في يونيو 2024، وهو يعمل كمنصة للبرامج الضارة كخدمة (MaaS)، حيث يعرض قدراته الخبيثة على الشركات التابعة مقابل مبلغ ضخم قدره 3000 دولار شهريًا.

على الرغم من افتقاره إلى الميزات الرائدة، فإن الاستخدام الواسع النطاق لـ DroidBot ووظائفه يجعلانه مصدر قلق كبير. كشف تحليل لإحدى شبكات الروبوتات الخاصة به عن 776 إصابة فريدة في مختلف البلدان الأوروبية، بما في ذلك تركيا وألمانيا. كما يُظهر البرنامج الخبيث علامات التوسع في مناطق جديدة، مثل أمريكا اللاتينية.

كيف يعمل DroidBot MaaS على تمكين مجرمي الإنترنت

يعتقد أن مطوري DroidBot، الذين يتمركزون في تركيا، قد أنشأوا منصة MaaS تعمل على خفض الحواجز أمام مجرمي الإنترنت لتنفيذ هجمات معقدة. يحصل الشركاء على إمكانية الوصول إلى مجموعة شاملة من الأدوات، بما في ذلك:

• منشئ برامج ضارة لتخصيص الحمولات لأهداف محددة.
• خوادم القيادة والتحكم (C2) لإدارة العمليات.
• لوحة إدارة مركزية لاسترجاع البيانات المحصودة وإصدار الأوامر.

تمكن الباحثون من تحديد 17 مجموعة تابعة تستخدم DroidBot، تعمل جميعها على بنية تحتية مشتركة C2 مع معرفات فريدة لتتبع الأنشطة. يتلقى الشركاء توثيقًا مكثفًا ودعمًا وتحديثات منتظمة عبر قناة Telegram، مما يخلق نظامًا منخفض الجهد وعالي المكافأة للمهاجمين.

التخفي والخداع: تنكرات DroidBot

للتسلل إلى أجهزة المستخدمين، غالبًا ما يتخفى DroidBot في هيئة تطبيقات شرعية، بما في ذلك Google Chrome أو متجر Google Play أو حتى خدمات Android Security. بمجرد تثبيته، يعمل كحصان طروادة، ويحصد معلومات حساسة من التطبيقات المستهدفة.

تتيح ميزاته الأساسية للمهاجمين تنفيذ مجموعة من الأنشطة الضارة، مثل:

• تسجيل المفاتيح : التقاط جميع ضغطات المفاتيح المدخلة على الجهاز المصاب.
• هجمات التراكب : عرض شاشات تسجيل دخول مزيفة فوق واجهات التطبيقات المشروعة لجمع بيانات الاعتماد.
• اعتراض الرسائل النصية القصيرة : اختطاف رسائل الرسائل النصية القصيرة، وخاصة تلك التي تحتوي على كلمات مرور لمرة واحدة (OTP) لتسجيل الدخول إلى الخدمات المصرفية.

استغلال خدمات إمكانية الوصول

يعتمد DroidBot بشكل كبير على خدمات إمكانية الوصول في نظام Android، وهي ميزة مصممة لمساعدة المستخدمين ذوي الإعاقات في مراقبة الإجراءات والحركات المفاجئة أو النقرات المحاكاة. ويؤكد هذا الاستخدام الخاطئ على أهمية التدقيق في التطبيقات التي تطلب أذونات غير عادية أثناء التثبيت. إذا طلب تطبيق الوصول إلى خدمات إمكانية الوصول دون غرض واضح، فيجب على المستخدمين رفض الطلب على الفور وإلغاء تثبيت التطبيق إذا لزم الأمر.

أهداف ذات قيمة عالية: التطبيقات المصرفية والعملات المشفرة

يمتد نطاق DroidBot إلى 77 تطبيقًا رفيع المستوى للعملات المشفرة والخدمات المصرفية. وتشمل بعض الأهداف البارزة ما يلي:

• بورصات العملات المشفرة: Binance وKuCoin وKraken.
• التطبيقات المصرفية: BBVA، Unicredit، Santander، BNP Paribas و Credit Agricole.
• المحافظ الرقمية: ميتاماسك.

تحتوي هذه التطبيقات على بيانات مالية حساسة، مما يجعلها أهدافًا رئيسية لمجرمي الإنترنت.

كيفية البقاء محميًا

يتطلب التخفيف من حدة التهديدات مثل DroidBot اتباع نهج استباقي:

• الالتزام بالمصادر الرسمية : قم بتنزيل التطبيقات من متجر Google Play فقط.
• مراجعة الأذونات : كن يقظًا بشأن طلبات الأذونات غير المعتادة، وخاصة تلك التي تتعلق بخدمات إمكانية الوصول.
• تنشيط Play Protect : تأكد من تمكين ميزة الأمان هذه على جهاز Android الخاص بك.

من خلال تبني هذه الممارسات، يمكن للمستخدمين تقليل تعرضهم بشكل كبير للتهديدات مثل DroidBot والحفاظ على السيطرة على بياناتهم الحساسة. ومع استمرار DroidBot في التطور وتوسيع نطاقه، يظل البقاء على اطلاع والحذر أمرًا بالغ الأهمية في الدفاع ضد تكتيكاته الخادعة.