حملة تجسس إلكتروني تستهدف أجهزة أندرويد في جنوب شرق آسيا

كشفت دراسة صادرة عن كاسبرسكي العالمية عن حملة تخريبية معقدة تستهدف مستخدمي الأجهزة العاملة بالنظام "أندرويد"، والتي يمكن القول إنها تُعزى إلى الجهة التخريبية OceanLotus المتخصصة بالتهديدات المتقدمة المستمر وتنشط الحملة التي أطلق عليها اسم PhantomLance منذ العام 2015 على الأقلّ، وتتميّز بإصدارات متعدّدة من برمجيات التجسس المعقدة،التي تجمع بيانات الضحايا، وتتبع أساليب توزيع ذكية تشمل التوزيع عبر عشرات التطبيقات الموجودة في متجر Google Play الرسمي.

وكان باحثون أمنيون تابعون لإحدى الجهات، أبلغوافي يوليو 2019 عن وجود عيّنة جديدة من برمجية تجسس عُثر عليها في متجر Google Play، وجذب التقرير انتباه الخبراء بسبب المزايا غير المتوقعة لهذه العينة، التي اختلف مستوى تعقيدها وسلوكها اختلافًا تامًّا عن الترويجات الشائعة في متاجر التطبيقات الرسمية، وتمكن باحثو كاسبرسكي من العثور على عينة أخرى مشابهة لهذه البرمجية الخبيثة على Google Play.

وعادة ما يستثمر منشئو البرمجيات الخبيثة موارد كبيرة في الترويج لها لزيادة عدد عمليات تنزيلها وتثبيتها إذا تمكّنوا من تحميلها إلى متجر رسمي للتطبيقات، وبالتالي زيادة عدد الضحايا. إلاّ أن واقع الحالة المكتشفة حديثًا كان مغايرًا؛ فقد بدا أن الجهة الكامنة وراءهاغير مكترثة بنشرها على نطاق الواسع، وهو ما وجد فيها لباحثون تلميحًا إلى نشاط تخريبي موجّه. ومكّن البحث الإضافي من اكتشاف عدّة إصدارات من هذه البرمجية الخبيثة وعشرات العينات منها، متصلة بأوجه تشابه برمجي متعددة.

ووجد الخبراء أن وظائف جميع العينات كانت متشابهة، وأن الغرض الرئيس منها تمثّل في جمع المعلومات. وتضمنت الوظائف الأساسية للبرمجية، على الرغم من عدم اتساعها، تحديد الموقع الجغرافي وسجلات المكالمات والوصول إلى جهات الاتصال وإلى الرسائل النصية القصيرة، كما أمكنها جمع قائمة بالتطبيقات المثبتة على الجهاز، بالإضافة إلى معلومات الجهاز نفسه، مثل الطراز وإصدار نظام التشغيل. وعلاوة على ذلك، كانت الجهة التخريبيةقادرة على تنزيل وتنفيذ حمولات خبيثة مختلفة (الأجزاء المنفّذة للعمل الخبيث في البرمجية خبيثة)، وبالتالي تكييف الحمولة لتناسب بيئة الجهاز المحددة، مثل إصدار أندرويد والتطبيقات المثبتة. بهذه الطريقة تمكنتالجهة التخريبية من تجنّب التحميل الزائد للتطبيق الخبيث بمزايا غير ضرورية وفي الوقت نفسه ضمنت جمع المعلومات اللازمة لها.

ووجدت المزيد من الأبحاث أن حملة PhantomLance وُزّعت في الأساس على العديد من المنصات ومتاجر التطبيقات، مثلGoogle Play وAPKpure، على سبيل المثال لا الحصر. وحاولت جهة التهديد في كل حالة تقريبًا من حالات نشر تطبيق البرمجية الخبيثة، إنشاء ملف تعريف مزيّف للمطوِّر عبر إنشاء حساب Github مرتبط بالتطبيق، وذلك لجعل تطبيقاتهم تبدو سليمة، في حين لم تحتوِ الإصدارات الأولى من التطبيق والتي رفعتها الجهة التخريبية إلى متاجر التطبيقات على أية حمولات خبيثة، وذلك من أجل التهرب من آليات التصفية التي تستخدمها تلك المتاجر. لكن التطبيقات حملت في التحديثات اللاحقةحمولات خبيثة وبرمجية لتنزيل هذه الحمولات وتنفيذها.

ولوحظت نحو 300 محاولة إصابة على أجهزة أندرويد في بلدان مثل الهند وفيتنام وبنجلاديش وإندونيسيا منذ العام 2016، وفقًا لشبكة Security Network وبينما تضمّنت إحصائيات الكشف إصابات عرَضية، فقد برزت فيتنام بوصفها واحدة من أبرز الدول المستهدفة من حيث عدد محاولات الهجمات،بل إن بعض التطبيقات الخبيثة المستخدمة في الحملة صنعت حصريًا باللغة الفيتنامية.

باستخدام محرك بحثي بإسناد البرمجيات الخبيثة،الذي يُعتبر أداة العثور على أوجه الشبه بين مختلف قطع البرمجيات الخبيثة، تمكّن الباحثون من تحديد أن حمولات PhantomLance كانت مشابهة بنسبة قدرها 20% على الأقل لتلك الموجودة في حملة أقدم استهدفت النظام أندرويد وكانت مرتبطة بالجهة التخريبية OceanLotus، التي تنشط منذ العام 2013 على الأقل وتقع أهدافها في الغالب في جنوب شرق آسيا. وعلاوة على ذلك، عُثر على العديد من التداخلات المهمة مع أنشطة OceanLotus التي اُبلغ عنها سابقًا على أنظمة ويندوز وMacOS، ما جعل الخبراء يرون إمكانية الربط بين حملة PhantomLanceوOceanLotus بمستوى متوسط من الثقة.

وقد أبلغت الفريق الامني أصحاب متاجر التطبيقات بجميع العينات المكتشفة، فيما أكّدGoogle Play إزالة التطبيقات.