هواتف أندرويد رخيصة تباع ببرامج تجسس مثبتة مسبقا.. وواتساب يسرق مستخدميه

كشف باحثون من شركة الأمن السيبراني Doctor Web، عن حملة تجسس رقمية نشطة منذ يونيو 2024، تستهدف مستخدمي الهواتف الذكية منخفضة التكلفة، حيث تباع هذه الأجهزة وهي محملة مسبقا بنسخ مزيفة من تطبيقي واتساب وتيليجرام، مصممة خصيصا لسرقة العملات الرقمية.وتقوم هذه التطبيقات الخبيثة، التي تعرف باسم “Crypto Clippers”، باستبدال عناوين محافظ العملات الرقمية التي ينسخها المستخدم، بعناوين تعود للمهاجمين، ما يؤدي إلى تحويل الأموال الرقمية إلى حسابات غير مشروعة. 

برمجيات خبيثة تخترق الهواتف وتسرق المستخدمين

أوضح التقرير أن المهاجمين تمكنوا من التسلل إلى سلسلة توريد عدد من مصنعي الهواتف الذكية في الصين، حيث تم دمج البرمجيات الخبيثة في التطبيقات المثبتة مسبقا على أجهزة أندرويد.وتحاكي هذه الأجهزة أسماء طرازات شهيرة مثل هاتف سامسونج جالاكسي S23 Ultra وشاومي ريدمي Note 13 Pro وهواوي P70 Ultra، لكنها في الواقع أجهزة ذات مواصفات منخفضة، تم تزوير معلوماتها باستخدام أدوات تخفي النظام الحقيقي وتظهر تفاصيل مزيفة حتى في تطبيقات متخصصة مثل AIDA64 وCPU-Z. ورغم ما تدعيه هذه الهواتف بأنها تعمل بنظام Android 14، فإنها تعمل فعليا على نسخة معدلة من Android 12.

حصان طروادة باسم Shibai

استخدم المهاجمون أداة LSPatch لتعديل نسخة واتساب وتحويلها إلى نسخة خبيثة تحتوي على وحدة سرية تقوم باعتراض التحديثات، واستبدال عناوين المحافظ داخل الرسائل، وسرقة بيانات المحادثات.كما يقوم الكود الضار بمسح مجلدات الجهاز بحثا عن صور تحتوي على “عبارات الاسترداد” للمحافظ الرقمية، ما يمنح المهاجمين إمكانية الوصول الكامل للأصول الرقمية.وقد تم تسمية حصان طروادة هذا باسم “Shibai”، نسبة إلى سلسلة من التعليمات البرمجية داخل الكود تحمل نفس الاسم، ويعتقد أنها إشارة إلى عملة رقمية مقلدة أخرى.
حتى الآن، تم توثيق انتشار الهجوم عبر أكثر من 60 خادم C2 و30 نطاقا مختلفا، ويشير التحقيق إلى أن إحدى المحافظ المرتبطة بالمهاجمين جمعت ما يزيد عن مليون دولار خلال عامين، بينما حصدت محافظ أخرى مبالغ تراوحت بين 100 ألف إلى 500 ألف دولار.

انتبه لهاتفك وتطبيقاتك

يحذر الباحثون من شراء هواتف ذكية بمواصفات تبدو “مغرية أكثر من اللازم” مقارنة بسعرها، ويوصون باستخدام تطبيقات حماية موثوقة مثل Dr.Web Security Space، وعدم تحميل التطبيقات من خارج المتاجر الرسمية مثل جوجل بلاي، وAppGallery، وRuStore، وتجنب تخزين صور لعبارات المرور أو المفاتيح السرية بشكل غير مشفر على الأجهزة.يُذكر أنه تم اكتشاف برمجيات خبيثة مثبتة مسبقا ليست جديدة، فقد تم رصد حالات مشابهة على أجهزة من علامات مثل شاومي ولينوفو وهواوي، بالإضافة إلى طرازات صينية شهيرة منذ عام 2014.