يُشكل برنامج خبيث جديد يُطلق عليه اسم **ClayRat** تهديداً متزايداً لمستخدمي نظام تشغيل أندرويد، حيث يتخفى بمهارة شديدة في هيئة تطبيقات شائعة الاستخدام مثل واتساب، تيك توك، يوتيوب، وحتى صور جوجل. هذا التنكر يهدف إلى خداع الضحايا وتحفيزهم على تثبيت الملفات الضارة.
وقد كشفت شركة **Zimperium** لأمن الأجهزة المحمولة عن هذا البرنامج التجسسي الذي ينتشر بشكل رئيسي عبر منصات مثل **Telegram** وعبر مواقع إلكترونية وهمية مصممة لتقليد البوابات الرسمية للتطبيقات، بهدف إقناع المستخدمين بتنزيل حزم APK الخبيثة.
تشير تحليلات الباحثين في Zimperium إلى أن هذه الحملة واسعة النطاق ومتغيرة باستمرار، حيث تم تحديد ما يزيد عن 600 نسخة مختلفة من البرمجية وأكثر من 50 مُثبِّتًا متنوعًا خلال الأشهر الثلاثة الماضية فقط، مما يدل على نشاط مستمر للمهاجمين.
يعتمد المهاجمون على تكتيكات تصيد متقدمة؛ فهم يُنشئون صفحات ويب مزيفة تحتوي على تقييمات مبالغ فيها، وعدادات تنزيل وهمية، وواجهات تحاكي متجر جوجل بلاي، مصحوبة بتعليمات مفصلة لإرشاد المستخدمين حول كيفية تجاوز تنبيهات وإجراءات الأمان التي يفرضها نظام أندرويد.
عند نجاح عملية التثبيت، يعرض التطبيق الخبيث شاشة وهمية تُوهم المستخدم بأنه يقوم بتحديث نظام التشغيل أو التطبيق، بينما يعمل برنامج التجسس **ClayRat** في الخلفية. يُستخدم في تثبيته أسلوب يعتمد على "الجلسات" يسمح له بتجاوز بعض القيود الأمنية الحديثة المطبقة في إصدارات أندرويد 13 وما بعدها، مما يقلل من احتمالية اكتشافه من قبل المستخدم العادي.
بمجرد تفعيله، يحصل البرنامج الخبيث على صلاحيات واسعة ومتقدمة. يمكنه قراءة واستخلاص رسائل الـ SMS، والوصول إلى سجلات المكالمات، والتقاط صور بواسطة الكاميرا الأمامية، وقراءة الإشعارات. والأخطر من ذلك، أنه يسعى ليصبح تطبيق الرسائل القصيرة الافتراضي للجهاز، مما يمنحه سيطرة كاملة على اتصالات المستخدم النصية، كما يتيح له إرسال رسائل نصية جماعية تلقائيًا إلى قائمة جهات الاتصال للانتشار السريع.
لضمان بقائه وتجنب الكشف، يتواصل **ClayRat** مع خوادم القيادة والتحكم الخاصة به عبر قنوات اتصال مُشفرة. ويدعم البرنامج مجموعة واسعة من الأوامر عن بُعد، والتي تشمل القدرة على استخراج قائمة التطبيقات المثبتة، وجمع معلومات مفصلة عن الجهاز، وإعادة توجيه الرسائل المستهدفة، أو حتى بدء مكالمات هاتفية دون علم المستخدم.
تعاونت Zimperium مع جوجل، حيث تمت مشاركة مؤشرات الاختراق (IoCs)، وبناءً عليه، قامت خدمة **Play Protect** بحظر المتغيرات المعروفة لهذه البرمجية. ومع ذلك، يحذر خبراء الأمن السيبراني من أن الحملة لا تزال فعالة ونشطة، وينصحون بشدة بتجنب تنزيل أي تطبيقات تأتي من روابط خارجية غير رسمية أو عبر قنوات مثل Telegram للحفاظ على سلامة أجهزتكم.
**ملخص لأبرز نقاط التهديد المرتبطة بـ ClayRat:**
- ✅ يتنكر ClayRat في صورة تطبيقات شائعة الاستخدام مثل واتساب وتيك توك لزيادة نسبة التنزيل.
- ✅ ينتشر البرنامج بشكل أساسي عبر رسائل ومنصات مثل Telegram وعبر مواقع تصيد تحاكي المتاجر الرسمية.
- ✅ يمتلك قدرات تجسس متقدمة تشمل سرقة الرسائل النصية، تسجيل المكالمات، والتحكم في الكاميرا.
- ✅ يستخدم تقنية تسمح له بتجاوز الحماية الأمنية في إصدارات أندرويد الحديثة (مثل أندرويد 13).
كيف يمكن للمستخدمين تجنب التثبيت الأولي لبرنامج ClayRat الخبيث؟
الوقاية تبدأ من الوعي؛ يجب على مستخدمي أندرويد الالتزام بتنزيل التطبيقات حصريًا من متاجر التطبيقات الرسمية الموثوقة، وتجاهل أي روابط تنزيل (APK) يتم استلامها عبر تطبيقات المراسلة أو الرسائل النصية، حتى لو بدت الوجهة شرعية. يجب أيضًا توخي الحذر من الرسائل التي تحث على تحديث فوري أو تتضمن عروضًا غير معقولة.
ما هي أخطر الصلاحيات التي يسعى برنامج ClayRat للحصول عليها بمجرد التثبيت؟
أخطر الصلاحيات هي تلك المتعلقة بالاتصالات الأساسية. يسعى ClayRat ليصبح تطبيق الرسائل الافتراضي، مما يمنحه القدرة على قراءة جميع الرسائل النصية (بما في ذلك رموز التحقق الثنائية)، والتحكم في اتصالات الجهاز، وإرسال رسائل دعائية أو ضارة إلى قائمة جهات الاتصال الخاصة بالضحية لضمان استمرار انتشار البرمجية.
هل تم إصدار تحديثات أمنية لمعالجة ClayRat بشكل نهائي؟
على الرغم من أن شركة Zimperium شاركت المؤشرات مع جوجل، مما أدى إلى حظر المتغيرات المعروفة عبر **Play Protect**، إلا أن الخبراء يؤكدون أن الحملة لا تزال نشطة وتتطور. الحظر يغطي النسخ القديمة، لكن المهاجمين قد يطلقون إصدارات جديدة تتطلب يقظة مستمرة من المستخدمين وتحديثات مستمرة لنظام التشغيل والبرامج الأمنية.
ما هي الأدوات التي يستخدمها المهاجمون لزيادة مصداقية صفحات التوزيع الوهمية؟
يستخدم المهاجمون مجموعة من الحيل النفسية والتقنية، أبرزها إنشاء صفحات تصميمها يقلد واجهات المتاجر الرسمية تمامًا، إضافة إلى نشر تقييمات إيجابية مزيفة بشكل مكثف، ووضع عدادات تنزيل وهمية تُظهر أن التطبيق يحظى بشعبية هائلة، وكل ذلك يهدف إلى إزالة أي شكوك لدى المستخدم حول سلامة الملف الذي سيقوم بتنزيله.
🔎 في الختام، يمثل تهديد **ClayRat** دليلاً واضحاً على أن التطور في البرمجيات الخبيثة يسير بخطى سريعة، خاصة عندما يتعلق الأمر باستهداف الأنظمة الأكثر انتشاراً مثل أندرويد. إن اليقظة والحذر عند التعامل مع مصادر التنزيل غير الرسمية تظل خط الدفاع الأول والأهم ضد هذه التهديدات المتنكرة. يجب أن يكون المستخدم دائمًا متشككًا في أي تطبيق يطلب صلاحيات تتجاوز وظيفته المعلنة، وأن يعتمد على القنوات الرسمية لتحديث البرامج والتطبيقات.
قم بالتعليق على الموضوع