هواتف Android رخيصة تواجه خطر برمجية خبيثة مثبتة مسبقًا وتعمل بصلاحيات النظام

كشفت شركة Bitdefender للأمن السيبراني عن انتشار برمجية خبيثة تحمل اسم Midnight Mimosa، تستهدف بعض هواتف Android منخفضة التكلفة التي تعتمد على معالجات MediaTek، وتصل إلى المستخدمين مثبتة مسبقًا ضمن نظام التشغيل، ما يثير مخاوف بشأن أمان الهواتف الرخيصة وسلامة البيانات الشخصية.

ووفقًا للباحثين، تأتي البرمجية ضمن ملفات النظام في بعض الأجهزة التي تنتجها علامات تجارية متعددة، وتبدأ نشاطها عند تشغيل الهاتف للمرة الأولى، وهو ما يجعل اكتشافها أكثر صعوبة، خاصة أنها تعمل بصلاحيات على مستوى النظام، تسمح لها بتنفيذ عمليات لا تتاح عادة للتطبيقات العادية.

وتمثل هذه الصلاحيات نقطة الخطر الأساسية، إذ يمكن للبرمجية تثبيت التطبيقات وحذفها بصمت، ومنحها الأذونات اللازمة، إلى جانب تحميل تعليمات برمجية من جهات خارجية، ولا يمكن للمستخدم إزالتها بالطريقة المعتادة من خلال إعدادات الهاتف، بسبب وجودها داخل مكونات النظام.

أهداف خبيثة

وحدد الباحثون أن الهدف الرئيسي من Midnight Mimosa يتمثل في تحقيق عائد مالي من الأجهزة المصابة، من خلال تنفيذ عمليات احتيال إعلاني والتلاعب بالنقرات، وجمع معلومات عن الهاتف والتطبيقات المثبتة عليه، فضلًا عن تحويل الأجهزة إلى نقاط وسيطة لتمرير حركة الإنترنت ضمن شبكات الوكلاء السكنية.

ويمكن استغلال هذه الأجهزة أيضًا ضمن شبكات الروبوتات المعروفة باسم Botnets، وهي شبكات تضم أجهزة مخترقة يجري التحكم فيها عن بُعد، وقد تُستخدم لتنفيذ هجمات حجب الخدمة الموزعة DDoS، التي تستهدف تعطيل المواقع والخدمات الإلكترونية عبر إغراقها بطلبات متزامنة.

ويساعد انتشار البرمجية على أعداد كبيرة من الهواتف في زيادة قدرة مشغليها على استغلال الأجهزة المصابة، سواء في تمرير حركة البيانات أو تنفيذ الأنشطة الاحتيالية، دون أن يلاحظ المستخدم بالضرورة وجود نشاط غير طبيعي على هاتفه.

تطبيقات مزيفة

وأوضحت Bitdefender أن عمليات الاحتيال الإعلاني لا تعتمد فقط على تطبيق النظام الخبيث، بل تستخدم أيضًا تطبيقات تبدو عادية، مثل تطبيقات الطقس وقفل التطبيقات وتدوين الملاحظات والتعرف الضوئي على الحروف OCR.

وتعمل هذه التطبيقات كوسيلة لتحميل مكونات إضافية مسؤولة عن تنفيذ النشاط الاحتيالي، إذ يمكنها عرض نافذة غير مرئية فوق التطبيقات الأخرى لتسجيل مرات ظهور الإعلانات والتفاعلات معها، بما يتيح توليد عائدات إعلانية غير مشروعة دون علم صاحب الهاتف.

وظهر أحد المكونات الأولى التي رصدها الباحثون تحت اسم الحزمة com.android.system.lite، لكن التحليل كشف عن وجود نسخ أخرى تستخدم أسماء تبدو مشابهة لملفات نظام Android الأصلية، ما يزيد صعوبة تمييزها بالنسبة إلى المستخدم العادي.

أسماء متعددة

ورصدت Bitdefender النواة الخبيثة نفسها تحت أسماء مختلفة، من بينها com.android.sys.prot وcom.android.sys.gmsprot وcom.android.sys.bcprot، مع اختلاف إصدارات البرمجية وشهادات التوقيع المستخدمة في كل نسخة، وهو ما يشير إلى تعدد أشكال انتشارها عبر الأجهزة المستهدفة.

وكشف التحقيق كذلك عن وجود 13 تطبيقًا متاحًا على متجر Google Play تتواصل مع الخوادم نفسها التي تتحكم في البرمجية الخبيثة، وهو تطور يستدعي الانتباه، لكنه لا يعني بالضرورة أن جميع التطبيقات الموجودة على المتجر مصابة أو أن كل هاتف يعمل بمعالج MediaTek معرض للخطر.

ويُنصح مستخدمو الهواتف منخفضة التكلفة بالتحقق من التطبيقات المثبتة، وتجنب تثبيت البرامج من مصادر غير موثوقة، وتحديث النظام متى توفرت تحديثات رسمية، مع العلم أن هذه الإجراءات لا تضمن إزالة برمجية مدمجة داخل النظام بصلاحيات مرتفعة.