تسلّلت البرامج الضارة المصرفية SharkBot إلى متجر Google Play، وهو متجر التطبيقات الخاصّة بنظام Android الرسميّ، متظاهرًا بأنه مضادّ فيروسات مع إمكانات تنظيف تام النظام.
وعلى الرّغم من أن تطبيق طروادة لم يكن شائعًا، إلّا أن وجوده في متجر Play يُظهر أنه لا يزال بإمكان موزعي البرامج الضارة تجاوز دفاعات Google التلقائية. لا يزال التطبيق موجودًا في متجر Google حتى وقت كتابة هذا التقرير.
تمّ اكتشاف SharkBot في Google Play من قبل باحثين في NCC Group، الذين نشروا اليوم تحليلًا تقنيًا مفصلاً للبرامج الضارة.
ماذا يمكن أن يفعل SharkBot؟
تم اكتشاف البرنامج الضار لأول مرّة بواسطة Cleafy في أكتوبر 2021م. كانت الميّزة الأكثر أهمية له، والتي تميّزه عن غيره من أحصنة طروادة المصرفية، هي تحويل الأموال عبر أنظمة التحويل التلقائي (ATS). كان هذا ممكنًا من خلال محاكاة اللمسات والنقرات والضغط على الأزرار على الأجهزة المخترقة.
أفادت NCC أن ميّزة تحويل الأموال لا تزال متاحة في أحدث إصدار، ولكنها تستخدم فقط في بعض حالات الهجمات المتقدّمة.
يمكن أن تتلقى البرامج الضارة أيضًا أوامر من خادم C2 لتنفيذ إجراءات مختلفة مثل:
- إرسال الرسائل القصيرة إلى رقم.
- تغيير مدير الرسائل القصيرة.
- يقوم بتنزيل ملف من عنوانURL محدد.
- تلقي ملف التكوين المحدث.
- يقوم بإلغاء تثبيت أحد التطبيقات من الجهاز.
- تعطيل تحسين البطارية.
- عرض تراكب التصيد.
- تنشيط أو إيقاف
- الرد على الإخطارات.
- إغلاق تطبيقًا محددًا(مثل أداة AV) عندما يحاول المستخدم فتحه.
الوظائف الأساسية الأربع في أحدث إصدار من SharkBot هي:
- الحقن (هجوم التراكب): يمكن لـSharkBot سرقة بيانات الاعتماد من خلال إظهار محتوى الويب (WebView) باستخدام موقع ويب مزيف لتسجيل الدخول (التصيد الاحتيالي) بمجرد اكتشاف التطبيق المصرفي الرسمي المفتوح.
- Keylogging: يمكن لـSharkbot سرقة بيانات الاعتماد عن طريق تسجيل أحداث إمكانية الوصول (المتعلقة بتغييرات الحقول النصية والأزرار التي تم النقر فوقها) وإرسال هذه السجلات إلى خادم الأوامر والتحكم (C2).
- اعتراض الرسائل القصيرة: يمكن لـSharkbot اعتراض / إخفاء رسائل.
- جهاز التحكم عن بعد/ATS :Sharkbot لديه القدرة على الحصول على تحكم كامل عن بعد لجهاز Android (عبر خدمات إمكانية الوصول).
لتنفيذ ما سبق، يسيء SharkBot استخدام إذن الوصول على Android ثم يمنح نفسه أذونات إضافية حسب الحاجة.
بهذه الطريقة، يمكن لـ SharkBot اكتشاف الوقت الذي يفتح فيه المستخدم تطبيقًا مصرفيًا، وينفذ عمليات حقن الويب المطابقة، ويسرق بيانات اعتماد المستخدم.
أحد الاختلافات الملحوظة بين SharkBot وأحصنة طروادة المصرفية الأخرى التي تعمل بنظام Android هو استخدام المكونات الجديدة نسبيًا التي تعزز ميزة "الرد المباشر" للإشعارات.
يمكن لـ SharkBot الآن اعتراض الإشعارات الجديدة والرد عليها بالرسائل الواردة مباشرة من C2.
كما هو مذكور في تقرير NCC، يستخدم SharkBot هذه الميّزة لإسقاط الحمولات الغنيّة بالميّزات على الجهاز المعرض للخطر من خلال الرد باستخدام عنوان URL مختصر لـ Bit.ly.
يحتوي تطبيق قطارة SharkBot الأولى على إصدار خفيف من البرامج الضارة الفعلية لتقليل مخاطر الكشف عن التطبيقات ورفضها.
من خلال ميّزة "الرد التلقائي"، يتمّ جلب نسخة كاملة من SharkBot تتميّز بـ ATS مباشرة من C2 وتثبيتها تلقائيًا على الجهاز.
يعتمد C2 على نظام DGA (خوارزمية إنشاء المجال) الذي يجعل من الصعب اكتشاف وحظر مجالات إصدار أوامر SharkBot.
لحماية نفسك من أحصنة طروادة الخطرة مثل SharkBot، لا تثق أبدًا في أي تطبيقات على متجر Play، وحاول الاحتفاظ بالتطبيقات المثبتة على جهازك عند الحد الأدنى.
إذا كنت تبحث عن برنامج مكافحة فيروسات Android، فهناك العديد من البائعين الجديرين بالثقة الذين يقدمون أدواتهم مجانًا.
يجب عليك تسجيل الدخول أولاً لإضافة تعليق.