برامج ضارة جديدة تحل محل تطبيقات Android الشرعية بتطبيقات وهمية على 25 مليون جهاز

تم العثور على البرنامج الضار الذي يحمل اسم Dubbed Agent Smith يقوم باستغلال نقاط الضعف المعروفة في نظام التشغيل Android لاستبدال التطب...

تم العثور على البرنامج الضار الذي يحمل اسم Dubbed Agent Smith يقوم باستغلال نقاط الضعف المعروفة في نظام التشغيل Android لاستبدال التطبيقات المثبتة على الجهاز بإصدارات ضارة دون الحاجة إلى تدخل المستخدمين.

استنادًا إلى الأبحاث التي أجراها ، تم العثور على Agent Smith بقوم بالإستفادة من امتيازات الوصول الواسعة لعرض الإعلانات المخادعة والربح منها.

تستهدف البرامج الضارة بشكل أساسي الأجهزة في الهند ودول آسيوية أخرى مثل باكستان وبنجلاديش ، وقد أثرت هذه البرامج الضارة بشكل مفاجئ على حوالي 25 مليون جهاز فريد .

تم الإبلاغ عن الإصابات بشكل أساسي على الأجهزة التي تعمل بنظام Android 5 و 6 ، مع استمرار معظم الإصابات لمدة شهرين على الأقل.

في شكله الحالي ، يتم استغلال Agent Smith لتحقيق مكاسب مالية من خلال تقديم إعلانات ضارة, ولكن نظرًا لقدراته على انتحال شخصية تطبيقات Android الشهيرة ، يحذر الباحثون من "وجود إمكانيات لا حصر لها لهذا النوع من البرامج الضارة لإلحاق الضرر بجهاز المستخدم.

كيف يعمل؟
قال باحثو Check Point إنهم واجهوا هذا النوع من البرامج الضارة في أوائل عام 2019, وبعد ملاحظة موجة من محاولات هجوم البرمجيات الخبيثة التي تعمل بنظام Android ضد المستخدمين في الهند ومما يعقد الأمر هو منهجية العدوى الخفية ، مما يجعل من الصعب اكتشافها حتى يتم اختراق الجهاز.

إن هذه البرامج تستفيد من سلسلة العدوى ثلاثية المراحل من أجل الأجهزة التي يتم التحكم فيها من خادم القيادة والتحكم (C&C) لإصدار أوامر ضارة.

نقطة الدخول هي تطبيق dropper ، يقوم الضحية بتثبيته على جهاز Android طواعية, وعادة ما تكون هذه الإصدارات المعاد تعبئتها من التطبيقات الشرعية مثل Temple Run مع رمز إضافي.
يقوم تطبيق dropper تلقائيًا بتثبيت تطبيق البرمجيات الخبيثة - وهو في الأساس ملف حزمة Android (.APK) - يظل رمزه مخفيًا عن مشغل الشاشة الرئيسية, كما أنهم يفلتون من الكشف عن طريق إخفاء أنفسهم كمُحَدِّثين له علاقة بـ Google.

يستخرج APK malware الأساسي قائمة بالتطبيقات المثبتة على الجهاز ، ويفحصها مقابل "قائمة بديلة" للتطبيقات - إما مشفرة أو مُصدرة من خادم C&C, وإذا وجد تطابقًا ، فإنه يستخرج ملف APK الأساسي من التطبيق المستهدف ، ويضخ ملف APK بوحدات الإعلانات الخبيثة ، ويثبت الإصدار 'copycat' الجديد من التطبيق كما لو كان تحديثًا منتظمًا للتطبيق.