التخفي في جيبك: برمجية FvncBot الخبيثة على أندرويد تسيطر على تطبيقات البنوك بتجسس لحظي

في صباح بارد من نوفمبر في بولندا، قام مستخدم أندرويد غير مدرك بالخطر بتحميل ما بدا له تحديث أمني روتيني لتطبيق mBank الخاص به. خلال لحظات، استولت أيادٍ خفية على الجهاز - تسجل كل ضغطة مفتاح، وتبث الشاشة مباشرة، وتفرغ حساب الضحية البنكي بصمت. مرحباً بك في عالم FvncBot، أحدث وأخطر تهديد حتى الآن لمستخدمي تطبيقات البنوك على أندرويد.

داخل سلسلة إصابة FvncBot

على عكس أحصنة طروادة البنكية التقليدية على أندرويد التي تعيد تدوير الشيفرات القديمة، فإن FvncBot هو ابتكار جديد كلياً. اكتشفت شركة الأمن Intel 471 هذه البرمجية الخبيثة لأول مرة بعد أن تنكرت باسم "Klucz bezpieczeństwa mBank" (مفتاح أمان mBank)، وهو تطبيق مزيف مقنع يستهدف عملاء أكبر بنك في بولندا. الخدعة؟ مطالبة المستخدم بتثبيت "مكون Play" - وهو في الحقيقة مشغل فك التشفير ونشر الحمولة الحقيقية لـ FvncBot.

تعتمد الإصابة على واحدة من أقوى ميزات أندرويد، وهي خدمات إمكانية الوصول، التي صممت أصلاً لمساعدة ذوي الاحتياجات الخاصة. بمجرد منحها الصلاحية، يحصل FvncBot على قدرة مراقبة شبه كاملة: يسجل كلمات المرور بصمت، يعترض رموز التحقق لمرة واحدة، بل ويعرض نوافذ تصيد فوق تطبيقات البنوك الحقيقية مباشرة. يظن المستخدمون أنهم يدخلون بياناتهم في بيئة آمنة، لكن كل نقرة تذهب مباشرة إلى المهاجم.

تجسس من مستوى جديد: HVNC وبث الفيديو المباشر

ما يميز FvncBot هو ترسانته من أدوات التجسس المتقدمة. تستخدم البرمجية HVNC (الحوسبة الافتراضية المخفية)، لإعادة بناء تخطيط شاشة الضحية حتى عندما تمنع تطبيقات البنوك التقاط الشاشة عبر إشارات الأمان. هذا يسمح للمهاجمين "برؤية" ما يراه المستخدم بالضبط. والأخطر من ذلك، يستغل FvncBot ضغط الفيديو H.264 لبث الشاشة في الوقت شبه الحقيقي - مما يجعل الاحتيال عن بعد سلساً كما لو أن المجرم يمسك الهاتف بنفسه.

يمكن للمهاجمين التفاعل مع الجهاز عن بعد: السحب، التمرير، النقر، وحتى تعتيم الشاشة لإخفاء تحركاتهم. كل ذلك يتم عبر اتصال WebSocket مشفر، مما يترك القليل من الأدلة وراءه. لا تزال طرق توزيع البرمجية قيد التحقيق، لكن الخبراء يحذرون من أنها تنتشر غالباً عبر مواقع التصيد وتطبيقات المراسلة الشهيرة مثل واتساب.

كيف تبقى آمناً في عصر البرمجيات الخبيثة المحمولة

يمثل FvncBot تذكيراً صارخاً بأن حتى أكثر التطبيقات والتحديثات المألوفة يمكن أن تتحول إلى أسلحة. يجب على مستخدمي أندرويد الحذر من التنزيلات غير المرغوب فيها والالتزام الصارم بمتاجر التطبيقات الرسمية. مع تطور تهديدات البنوك، يجب أن يتطور وعي المستخدمين أيضاً. ففي عالم الجريمة الإلكترونية، قد تكون النقرة التالية كافية لفتح الباب أمام اللص.

ويكي كروك: معجم المصطلحات

خدمات إمكانية الوصول

ميزات أندرويد صممت لمساعدة ذوي الاحتياجات الخاصة، وغالباً ما تُستغل للتحكم في الجهاز من قبل البرمجيات الخبيثة.

الحمولة (Payload)

الجزء من البرمجية الخبيثة الذي ينفذ الأفعال الضارة بعد وصوله إلى جهاز الضحية.

HVNC (الحوسبة الافتراضية المخفية)

تقنية تتيح المشاهدة والتحكم عن بعد بواجهة الجهاز، متجاوزة حماية لقطات الشاشة.

حقن الويب (Web Inject)

طريقة تقوم فيها البرمجية الخبيثة بعرض نموذج إدخال مزيف فوق التطبيق الأصلي لسرقة بيانات الدخول.

ترميز H.264

معيار لضغط الفيديو يُستخدم هنا من قبل البرمجية لبث شاشة الجهاز بكفاءة وفي الوقت شبه الحقيقي.