حصان طروادة المصرفي TsarBot

برز برنامج TsarBot الخبيث، المُكتشف حديثًا، والمُستهدف لنظام أندرويد، كتهديد إلكتروني خطير. يستهدف هذا البرنامج الخبيث أكثر من 750 تطبيقًا في قطاعات البنوك والتمويل والعملات المشفرة والتجارة الإلكترونية، ويُشكل خطرًا جسيمًا على بيانات المستخدمين الحساسة.

كيف يقوم TsarBot بحصاد بياناتك

TsarBot هو حصان طروادة مصرفي متطور يستخدم هجمات تراكبية لسرقة بيانات البنوك وبيانات تسجيل الدخول ومعلومات بطاقات الائتمان. يعمل TsarBot في مناطق متعددة، بما في ذلك أمريكا الشمالية وأوروبا وآسيا والمحيط الهادئ والشرق الأوسط، ويستخدم أساليب خادعة للتسلل إلى الأجهزة واستخراج البيانات بسلاسة.

كيف ينتشر TsarBot: الفخاخ والحيل

ينتشر TsarBot بشكل رئيسي عبر مواقع إلكترونية خبيثة متخفية في صورة منصات مالية. ومن الأمثلة البارزة على ذلك نسخة مزيفة من منصة التداول اللامركزية Photon SOL، التي تخدع المستخدمين لتحميل تطبيق تداول احتيالي. إضافةً إلى ذلك، تلعب أساليب التصيد الاحتيالي والهندسة الاجتماعية دورًا هامًا في انتشاره.

غالبًا ما تُدمج برمجيات خبيثة مثل TsarBot في محتوى يبدو ظاهريًا غير ضار، حيث تصل إلى المستخدمين عبر التنزيلات العشوائية، والإعلانات الخبيثة، والأساليب الإلكترونية، ومصادر التنزيل المشبوهة، ورسائل البريد الإلكتروني العشوائية، والتحديثات المزيفة، والمحتوى المقرصن. بل إن بعض هذه البرمجيات الخبيثة قادرة على الانتشار ذاتيًا عبر الشبكات المحلية ومحركات أقراص USB، مما يزيد من صعوبة احتوائها.

كيف يعمل TsarBot: سيد الخداع

بمجرد تثبيت TsarBot - والذي غالبًا ما يكون مُتنكرًا باسم خدمات Google Play - يُنفّذ هجومًا مُتراكبًا بعرض شاشات تسجيل دخول مزيفة فوق التطبيقات الأصلية. هذا يسمح له بجمع بيانات اعتماد تسجيل الدخول دون إثارة الشكوك.

بالإضافة إلى هجمات التراكب، يستخدم TsarBot تقنيات متقدمة مثل تسجيل الشاشة، والتحكم عن بُعد في الأجهزة المصابة، وآليات انتزاع الأقفال التي تلتقط أرقام التعريف الشخصية وكلمات المرور باستخدام شاشات قفل مزيفة. كما يمكنه محاكاة حركات المستخدم، مثل التمرير والنقر، مع إخفاء أنشطته بشاشة تراكب سوداء.

اتصال القيادة والتحكم (C&C)

يتواصل TsarBot مع خادم القيادة والتحكم (C&C) الخاص به عبر اتصالات WebSocket، مما يُمكّن من سرقة البيانات في الوقت الفعلي وتنفيذ أنشطة احتيالية. تتيح هذه الاتصالات للبرامج الضارة التلاعب بالشاشات وتنفيذ الإيماءات والتفاعل مع التطبيقات المستهدفة.

يحتفظ البرنامج الخبيث بقائمة مُحدَّثة من التطبيقات المُستهدفة، بما في ذلك منصات مصرفية من الهند وفرنسا وبولندا وأستراليا، وتداول العملات المشفرة، وتطبيقات التواصل الاجتماعي. عند تفاعل المستخدمين مع هذه التطبيقات، يُنشئ TsarBot صفحة تصيد احتيالي مزيفة لجمع بيانات الاعتماد، ثم يُعيد إرسال البيانات المُجمَّعة إلى خادم القيادة والتحكم الخاص به.

كيفية البقاء آمنًا من TsarBot

للحماية من التهديدات مثل TsarBot، يوصي خبراء الأمن السيبراني بما يلي:

• تجنب مصادر التطبيقات غير الموثوقة ومتاجر الطرف الثالث
• الحذر من روابط التصيد والمواقع المشبوهة
• تمكين Google Play Protect لمزيد من الأمان
• تحديث الأجهزة بانتظام لتصحيح الثغرات الأمنية
• الامتناع عن تنزيل البرامج المقرصنة أو المخترقة

مع تزايد تعقيد برامج Trojans المصرفية التي تعمل بنظام Android، يتعين على المستخدمين أن يظلوا يقظين ويتخذوا تدابير أمنية استباقية لحماية بياناتهم.