Bitdefender يكتشف برمجية خبيثة لاحتيال إعلاني مثبتة مسبقًا في هواتف Android غير المُسمّاة حول العالم

برمجية خبيثة مثبتة مسبقًا على هواتف غير مُسمّاة

كشف باحثو Bitdefender حملة احتيال إعلاني واسعة النطاق مرتبطة ببرمجية خبيثة مثبتة مسبقًا على آلاف هواتف Android غير المُسمّاة في أكثر من 150 دولة. تستهدف العملية، التي تحمل اسم Midnight Mimosa، مئات من ماركات الهواتف. جغرافيًا، تتصدر المكسيك وفرنسا وإيطاليا، تليها الولايات المتحدة وألمانيا والبرازيل وإسبانيا.

تعمل البرمجية الخبيثة بصلاحيات على مستوى النظام، لذلك لا يستطيع معظم المالكين حذفها بالطريقة المعتادة. يستخدمها المشغّلون لتثبيت تطبيقات أخرى وحذفها ومنح الأذونات وتحميل تعليمات برمجية تلقائية، مما يجعل الأجهزة المصابة تشارك في الاحتيال الإعلاني وبوتات البروكسي السكنية وربما في هجمات DDoS أيضًا.

كيف يعمل الاحتيال

تثبّت البرمجية الخبيثة تطبيقات مقلّدة تبدو عادية، مثل تطبيقات الطقس وقفل التطبيقات والملاحظات وتطبيقات OCR. ويأتي كل منها مع SDK إعلاني شرعي يتصل بشبكة إعلانية ويُرجع الائتمانات للمشاهدات والنقرات. حدد Bitdefender ما لا يقل عن 32 تطبيق payload مقلدًا فريدًا. تنفذ البرمجية الخبيثة التعليمات البرمجية المسلّمة عن بُعد لإنشاء مشاهدات ونقرات وهمية في الخلفية، بينما يحصل التطبيق المساعد على الدفع ولا يرى المستخدم شيئًا. كما تعمل البرمجية الخبيثة على تجاوز حماية Google Play Store أثناء التثبيت أو الحذف ثم تعيد تفعيلها.

أجهزة وهمية وGoogle Play

كثير من الطرازات المتأثرة مزيفة، ومن بينها هواتف iPhone مزيفة مثل «i17 Pro Max» وكمبيوتر لوحي «iPadAirPro»، بالإضافة إلى أسماء منسوخة من Samsung Galaxy مثل «S25 Ultra» و«Note 18 Ultra». أكثر من 11% من الأجهزة المصابة تظهر باسم «KINGKONG X» المرتبط بـCubot، وأكثر من 4% باسم «S200 X» المرتبط بـDoogee، على الرغم من أن أفضل 15 ماركة لا تمثل سوى 35,8% فقط من الأجهزة المصابة الفريدة. وُجد أن التطبيق الخبيث موقّع بمفتاح المنصة من شركة Shenzhen Zediel Co., Ltd.، وهي شركة Android OEM حقيقية مقرها شنتشن وتصنع أجهزة لوحية، ويتخفى تحت أسماء حزم نظامية مثل com.android.system.lite. كما عثر Bitdefender على 13 تطبيقًا على Google Play تحتوي على نفس التعليمات البرمجية الخبيثة، بما في ذلك تطبيقات الطقس وماسح QR، لذلك لا تقتصر الحملة على أجهزة مزيفة.

الحذف والمخاطر

بما أن مكون root يأتي في قسم النظام، يتطلب تنظيف الجهاز التنظيف على مستوى firmware أو تعطيل المكون عبر ADB، وهو أمر غير واقعي لمعظم المالكين. يحذر الباحثون من أن بعض البائعين يشترون أجهزة رخيصة ثم يحمّلون عليها برمجيات تحقق لاحقًا أرباحًا. يجب على المستخدمين تجنب العمليات المصرفية أو تسجيل الدخول إلى حسابات حساسة أو تخزين بيانات مهمة على هذه الأجهزة. قد يساعد فحص الهاتف ببرنامج أمان محمول في اكتشاف العدوى، ويجب على المالكين التواصل مع البائع أو الشركة المصنعة للاستبدال.

المصادر: Cybernews