أعلنت شركة الأمن السيبراني ThreatFabric اليوم عن اكتشاف مالوار أندرويد جديد يحمل اسم «Hirudo»، يهدف إلى سرقة بيانات حسابات البنوك عبر استبدال التطبيقات البنكية الأصلية بنسخ مُعدَّلة تتجاوز فحوصات التوقيع والـ Accessibility وPlay Integrity.
طريقة عمل هيرودو
يعتمد هيرودو على محرك ربط (hooking engine) مبني على أطر عمل مفتوحة المصدر YAHFA وDobby. عند تثبيت أحد التطبيقات الحاملة للمالوار، يقوم بإلغاء تثبيت التطبيق البنكي الأصلي، ثم يحمل نسخة مُعدَّلة ويستغل صلاحية الـ Accessibility لتثبيتها مرة أخرى. العملية تُنفّذ في نقطتين يمكن للمستخدم إيقافهما، لكن غالبًا ما تكتمل دون تدخل.
آليات التجاوز
- استبدال شهادة التوقيع الحقيقية عند الاستعلام عنها.
- إخفاء خدمات الـ Accessibility المفعّلة.
- إزالة حماية التقاط الشاشة، ما يسمح ببث الشاشة وتسجيل الصوت عن بُعد.
- تعديل شهادات attestation وإعادة توجيه طلبات Play Integrity عبر خادم يتحكم به المهاجم.
توفر هذه الآليات للمالوار قدرة على اختراق التطبيقات البنكية المتقدمة، لكنه يواجه قيودًا مثل تسريبات مفتاح attestation العام وإمكانية اكتشاف الشهادات المزورة عبر فحوصات الإلغاء من جانب الخادم.
تشير التقارير إلى أن هيرودو استهدف ما لا يقل عن سبعة بنوك إندونيسية، بالإضافة إلى مؤسسات مالية في الصين والهند والمكسيك والمغرب وتايلاند. تم توزيع المالوار عبر تطبيقات تبدو شرعية في فئات التسوق، المحتوى للبالغين، والدراما القصيرة.
للتصدي لهذا التهديد، يوصي الباحثون بأن تقوم البنوك بالتحقق من سلامة التطبيق من جانب الخادم، وربط الفحوصات بجلسات المستخدمين والإجراءات الحساسة، بالإضافة إلى الحفاظ على ضوابط سلوكية ومخاطر المعاملات. كما يُنصح مستخدمو الأندرويد بتحديث أجهزتهم بانتظام، وتجنب تثبيت ملفات APK من مصادر غير رسمية، وإجراء فحص دوري عبر Play Protect.
المصدر: bleepingcomputer.com