تطبيقات احتيالية في متجر Google Play تخترق الآلاف من حسابات Facebook

تم العثور على فيروس حصان طروادة جديد يعمل بنظام Android للإستيلاء على حسابات Facebook لأكثر من 10000 مستخدم في 144 دولة على الأقل منذ مارس 2...

تم العثور على فيروس حصان طروادة جديد يعمل بنظام Android للإستيلاء على حسابات Facebook لأكثر من 10000 مستخدم في 144 دولة على الأقل منذ مارس 2021 عبر تطبيقات احتيالية موزعة من خلال متجر Google Play وأماكن تطبيقات أخرى تابعة لجهات خارجية. 

 يطلق عليه "فلايتراب,"يُعتقد أن البرامج الضارة غير الموثقة سابقًا هي جزء من عائلة من أحصنة طروادة التي تستخدم حيل الهندسة الاجتماعية لخرق حسابات Facebook كجزء من حملة اختطاف للجلسات تنظمها جهات فاعلة خبيثة تعمل خارج فيتنام, إنه على الرغم من سحب التطبيقات التسعة المسيئة منذ ذلك الحين من Google Play ، إلا أنها لا تزال متاحة في متاجر التطبيقات التابعة لجهات خارجية ، إليك قائمة بالتطبيقات  -

• GG Voucher (com.luxcarad.cardid)
• Vote European Football (com.gardenguides.plantingfree)
• GG Coupon Ads (com.free_coupon.gg_free_coupon)
• GG Voucher Ads (com.m_application.app_moi_6)
• GG Voucher (com.free.voucher)
• Chatfuel (com.ynsuper.chatfuel)
• Net Coupon (com.free_coupon.net_coupon)
• Net Coupon (com.movie.net_coupon)
• EURO 2021 Official (com.euro2021)

تدعي التطبيقات الضارة أنها تقدم كوبونات Netflix و Google AdWords وتسمح للمستخدمين بالتصويت لفرقهم واللاعبين المفضلين لديهم في UEFA EURO 2020, التي جرت بين 11 يونيو و 11 يوليو 2021, فقط بشرط تسجيل الدخول باستخدام حساباتهم على Facebook للإدلاء بأصواتهم, أو جمع كود قسيمة أو الاعتمادات.

بمجرد تسجيل دخول المستخدم في الحساب, تم تجهيز البرامج الضارة لسرقة معرف الضحية على Facebook, موقعك, عنوان البريد الإلكتروني, عنوان IP, وملفات تعريف الارتباط والرموز المميزة المرتبطة بحساب Facebook, وبالتالي تمكين المهدد من تنفيذ حملات التضليل باستخدام تفاصيل تحديد الموقع الجغرافي للضحية أو نشر البرامج الضارة بشكل أكبر عبر تقنيات الهندسة الاجتماعية عن طريق إرسال رسائل شخصية تحتوي على روابط إلى فيروس طروادة.

  يتم تحقيق ذلك باستخدام تقنية تسمى حقن جافا سكريبت, حيث "يفتح التطبيق عنوان URL الشرعي داخل WebView الذي تم تكوينه مع القدرة على حقن رمز JavaScript واستخراج جميع المعلومات الضرورية مثل ملفات تعريف الارتباط, تفاصيل حساب المستخدم, موقعك, وعنوان IP عن طريق حقن خبيثة تحمل شفرة [جافا سكريبت] .

في حين يتم استضافة البيانات المُستثناة على بنية تحتية للقيادة والتحكم (C2) ، يمكن استغلال العيوب الأمنية الموجودة في خادم C2 لفضح قاعدة البيانات الكاملة لملفات تعريف ارتباط الجلسة المسروقة لأي شخص على الإنترنت ، وبالتالي وضع الضحايا في خطر آخر . 

تعزز الجهات الفاعلة في مجال التهديد الضار المفاهيم الخاطئة الشائعة للمستخدم بأن تسجيل الدخول إلى المجال الصحيح آمن دائمًا بغض النظر عن التطبيق المستخدم لتسجيل الدخول. 

المجالات المستهدفة هي منصات وسائل التواصل الاجتماعي الشعبية وكانت هذه الحملة فعالة بشكل استثنائي في جمع بيانات جلسات وسائل التواصل الاجتماعي للمستخدمين من 144 دولة. يمكن استخدام هذه الحسابات كمجموعة برامج الروبوت لأغراض مختلفة: من تعزيز شعبية الصفحات / المواقع / المنتجات إلى نشر المعلومات الخاطئة أو الدعاية السياسية.