برمجية Hirudo الخبيثة تستبدل تطبيقات البنوك الحقيقية على أندرويد بنسخ تجسسية

كشفت شركة الأمن السيبراني للجوال ThreatFabric في 14 أكتوبر عن عائلة جديدة من البرمجيات الخبيثة لأندرويد تُدعى Hirudo، تسرق بيانات اعتماد البنوك عبر حذف تطبيق البنك الحقيقي للضحية سرًا واستبداله بنسخة معدَّلة معطَّلة الفحوصات الأمنية. ووجدت الشركة نسخًا خبيثة لسبعة تطبيقات بنكية إندونيسية على الأقل، إلى جانب تطبيقات معدَّلة مرتبطة بمؤسسات مالية في الصين والهند والمكسيك والمغرب وتايلاند.

أحصنة طروادة المصرفية التي تضع شاشة تسجيل دخول مزيفة فوق التطبيق الحقيقي أمر شائع. أما Hirudo فهو أكثر عدوانية: بدلاً من خداع الضحية لإدخال بياناته في شاشة مقلّدة، يزيل التطبيق الأصلي تمامًا من الهاتف ويثبّت نسخته المعدَّلة بدلاً منه، بحيث يتفاعل الضحية منذ اللمسة الأولى مع برمجية يتحكم بها المهاجمون.

ينتشر Hirudo عبر تطبيقات لا علاقة لها بالبنوك تُوزَّع خارج متجر Google Play، منها تطبيق التسوق Shopora، وتطبيق محتوى للبالغين باسم 1V1 X، وتطبيقا الدراما القصيرة ZoyaTV وKoiShort. تعمل هذه التطبيقات كما هو معلن عنها، ثم تعرض إشعار «تحديث» مزيفًا يقود الضحية لمنح إذن Accessibility. وبهذا الوصول، يُشغّل Hirudo سرًا عملية إلغاء تثبيت تطبيق البنك الهدف الحقيقي، ويُنزّل نسخة معدَّلة من بنية تحتية تابعة للمهاجمين، ويستخدم صلاحيات Accessibility الخاصة به لإتمام التثبيت دون أي طلبات إضافية.

تستخدم تطبيقات البنوك المعدَّلة محرك hooking مبنيًا على إطاري العمل مفتوحي المصدر YAHFA وDobby لتزوير شهادة توقيع التطبيق الأصلي عند فحص نظام التشغيل لها، وإخفاء تفعيل خدمات Accessibility، وإزالة حماية لقطات الشاشة، وتغيير بيانات key-attestation بحيث تُمرَّر طلبات Play Integrity من جوجل سرًا عبر خادم يتحكم به المهاجم بدلاً من الرد عليها بصدق. وتقول ThreatFabric إن المشغلين يستطيعون جمع كلمات مرور البنوك، وأرقام PIN للدفع، ورموز فتح قفل الجهاز، والرسائل النصية القصيرة، بالإضافة إلى بث شاشة الهاتف والوصول إلى كلتا الكاميرتين وسحب لقطات الشاشة والصوت. وتلتقط صفحات دفع مزيفة داخل التطبيق رقم PIN قبل عرض رسالة مزيفة بـ«نجاح الدفع» لتفادي إثارة الشك.

عثرت ThreatFabric أيضًا على لوحة تحكم خلفية غير محمية يستخدمها مشغلو Hirudo تحتوي على آلاف السجلات المسروقة من بيانات الاعتماد، إلى جانب بيانات الأجهزة وشاشات القفل والملفات المالية — رغم أن الشركة تقول إن العدد الإجمالي للضحايا لا يزال غير معروف. وتحمل الحملة نقطة ضعف أصيلة: تسرّبت علنًا حزمة مفاتيح attestation المرفقة بالبرمجية، وقد صنّفت جوجل بالفعل شهادتين من الشهادات المستخدمة على أنهما مخترقتان، ما يتيح لفحوصات سلامة الخادم المُعدّة بشكل صحيح كشف عمليات attestation المزوَّرة.

توصي ThreatFabric البنوك بنقل التحقق من التوقيع والسلامة إلى جانب الخادم وربطه بجلسات فردية بدلاً من الاعتماد فقط على الفحوصات داخل الجهاز، وتوصي مستخدمي أندرويد بتجنب تثبيت ملفات APK من خارج المتاجر الرسمية والإبقاء على فحص Play Protect مفعّلاً. نشرت ThreatFabric هذا البحث، وأعدّ التقرير Bill Toulas لموقع BleepingComputer.