برمجيات حصان طروادة المتخصصة بسرقة الحسابات المصرفية تتسلح بأساليب جديدة

وتعاود مهاجمة متجر جوجل بلاي
دبي، 29 سبتمبر 2017: نجحت موجةٌ جديدة من برمجيات حصان طروادة الخطيرة المتخصصة بسرقة الحسابات المصرفية والعاملة على نظام التشغيل 'أندرويد‘ مجدداً في الدخول إلى متجر 'جوجل بلاي‘ مسلحةً بأساليب وتقنيات جديدة. وكنا قد حذرنا من خطورة هذه البرمجات في بداية هذا العام.
فقد واصلت البرمجية الخبيثة المسماة 'بانكبوت‘ BankBot تطورها خلال العام الحالي لتظهر بأشكال ونسخ مختلفة داخل متجر 'جوجل بلاي‘ وخارجه. ويعد النمط الجديد من حصان طروادة والذي اكتشفناه في المتجر بتاريخ 4 سبتمبر أولى تلك البرمجيات الخبيثة التي تدمج أحدث خطوات تطور برمجية 'دوبت بانكبوت‘ بشكل ناجح؛ حيث تم تحسين أنماط تشفير البيانات، وتعزيز دقة تفريغ حمولة البيانات، إلى جانب الاستعانة بتقنيات ماكرة لنقل البرمجيات عبر استغلال صلاحيات الوصول في نظام تشغيل 'أندرويد‘.
وتم تسجيل حالات استغلال صلاحيات الوصول لنظام تشغيل 'أندرويد‘ باستخدام عدد من برمجيات حصان طروادة خارج متجر 'جوجل بلاي‘ في معظم الأحيان. وأكدت التحليلات التي صدرت مؤخراً عن شركتي 'إس فاي لابس‘ SfyLabs و 'زد سكيلر‘ Zscaler أن قراصنة الإنترنت الذين يعملون على نشر 'بانكبوت‘ قد نجحوا في رفع التطبيق من خلال استغلال صلاحيات الوصول الخاصة بمتجر 'جوجل بلاي‘، من دون تضمينه حمولة بيانات البرمجيات الخبيثة الخاصة بالسرقات المصرفية.
ويتمثل حل هذا اللغز في أن حمولة بيانات البرمجية الخبيثة قد تمكنت من الانسلال متجر 'جوجل بلاي‘ بشكل لعبة تحمل اسم 'جويلز ستار كلاسيك‘Jewels Star Classic (وتجدر الإشارة هنا إلى أن القراصنة أساؤوا استخدام الاسم الشهير لإحدى منصات الألعاب المشروعة 'جويلز ستار‘Jewels Star المطورة من قبل شركة 'آي تري جيمر‘ ITREEGAMER والتي لا ترتبط على الإطلاق بهذه الهجمة البرمجية الخبيثة).
وقد قمنا بإبلاغ الفريق الأمني لشركة 'جوجل‘ حول هذا التطبيق الخبيث، والذي تم تحميله من قبل حوالي 5 آلاف مستخدم قبل أن يقوم المتجر بإزالته.
كيف تعمل هذه البرمجية الخبيثة؟
عندما يقوم المستخدم غير المنتبه بتحميل لعبة 'جويلز ستار كلاسيك‘ – المطوّرة من قبل 'جيمدف توني‘ GameDevTony والظاهرة في الشكل رقم 1 -، فإنه يحصل على لعبة يمكن تشغيلها على نظام 'أندرويد‘. وباستخدام بعض الإضافات المخفية، يمكن للقرصان تشغيل حمولة البيانات الخبيثة الكامنة داخل اللعبة، إلى جانب خدمة خبيثة يتم تفعيها بعد مهلة معينة تم تحديد مدتها خلال وقت سابق.
الخبيث المكتشف على متجر 'جوجل بلاي‘
يتم تشغيل الخدمة الخبيثة بعد مرور 20 دقيقة على التشغيل الأول للعبة 'جويلز ستار كلاسيك‘. وبعدها يقوم الجهاز المصاب بالبرمجية الخبيثة بعرض تنبيه يطالب المستخدم بتمكين خدمة تحمل اسم 'خدمة جوجل‘Google Service (ملاحظة: يظهر التنبيه بشكل مستقل عن النشاط الحالي للمستخدم، ودون أي علاقة ظاهرة له مع اللعبة).
وبعد ضغط المستخدم على خيار 'موافق‘، والذي يمثل السبيل الوحيد لمنع التنبيه من الظهور مجدداً، ينتقل المستخدم تلقائياً إلى قائمة الوصول الخاصة بنظام 'أندرويد‘، حيث تتم إدارة صلاحيات الوصول في النظام. وتظهر بين مجموعة الخدمات المشروعة خدمة جديدة تسمى 'خدمة جوجل‘ التي أنشأتها البرمجية الخبيثة. ومن خلال الضغط على هذه الخدمة يتم عرض وصف مأخوذ عن اتفاقية 'شروط استخدام الخدمة‘ الخاصة بشركة 'جوجل‘.
وعندما يقرر المستخدم تفعيل الخدمة، تظهر لديه قائمة من الصلاحيات التي يتعين عليه منحها وتشمل: 'راقب نشاطاتك‘، و'استعادة نافذة المحتوى‘، و'تفعيل الاستكشاف من خلال اللمس‘، و'تفعيل الوصول المحسّن إلى الشبكة‘، و'تنفيذ الإجراءات‘. (الشكل رقم 5).
وبمجرد الضغط على زر 'موافق‘، يتم منح صلاحيات الوصول الخاصة بالبرمجية الخبيثة. ومن خلال منح هذه الصلاحيات، فإن المستخدم يمنح البرمجية الخبيثة حرية كاملة في تنفيذ جميع الإجراءات التي تحتاجها لمواصلة أنشطتها الخبيثة.