أندرويد تحت الهجوم.. حملة تجسس تخترق ملايين الأجهزة حول العالم

ظهرت حملة تجسس معقدة تستهدف أجهزة أندرويد تحت اسم “ClayRat”، لتصبح واحدة من أخطر التهديدات المحمولة في عام 2025.

تقوم هذه البرمجية الخبيثة بالتظاهر بأنها تطبيقات مشهورة مثل “واتساب” و”صور جوجل” و”تيك توك” و”يوتيوب”، مما يسمح لها باختراق الأجهزة وسرقة البيانات الحساسة للمستخدمين.

حملة تجسس متطورة منتشرة على أجهزة أندرويد تشكل تهديدا كبيرا

تتمتع البرمجية الخبيثة بقدرة ملحوظة على التكيف والاستمرارية، حيث يقوم القائمون عليها بتطوير أساليبهم بشكل مستمر لتجاوز تدابير الأمان وتوسيع نطاق الهجمات عبر المناطق المستهدفة.

تعمل “ClayRat” كأداة مراقبة شاملة قادرة على استخراج الرسائل القصيرة، سجلات المكالمات، الإشعارات الخاصة بالجهاز، والمعلومات الشخصية، بينما تحافظ على الوصول السري إلى الأجهزة المصابة.

أخطر ميزة في هذه البرمجية تكمن في قدرتها على التقاط صور عبر الكاميرا الأمامية للجهاز، بالإضافة إلى استغلال قائمة جهات الاتصال الخاصة بالضحية عبر إرسال روابط خبيثة تلقائيًا إلى جميع الأرقام المخزنة، مما يحول كل جهاز مصاب إلى مركز توزيع لإصابات إضافية.

تشير التقارير الأمنية إلى أن هذه الحملة قد شهدت نموًا سريعًا في الأشهر الأخيرة، حيث وثق الباحثون الأمنيون أكثر من 600 عينة من البرمجيات الخبيثة و50 نسخة مختلفة من “الدروبرز” (برمجيات التسلل) في فترة زمنية لا تتجاوز ثلاثة أشهر.

تستمر كل نسخة في إضافة طبقات جديدة من تقنيات التمويه والحزم لتفادي أنظمة الكشف، مما يعكس التزام القائمين عليها بالحفاظ على استمراريتها في مواجهة تطور تدابير الأمان.

شبكة توزيع متطورة وتقنيات اختراق متقدمة

كشف محللو “Zimperium” عن شبكة توزيع متطورة لهذه البرمجية الخبيثة، حيث تعتمد بشكل أساسي على قنوات “تلجرام” ومواقع تصيد محاكية لصفحات خدمات شرعية. 

وقد قام المهاجمون بتسجيل مجالات لتقليد خدمات معروفة، وإنشاء صفحات هبوط تقنع الضحايا بالانتقال إلى قنوات “تلجرام” حيث يتم تحميل ملفات APK خبيثة مع تعليمات تثبيت تهدف إلى تجاوز تحذيرات الأمان المدمجة في نظام أندرويد.

آليات الإصابة والاستمرارية المتقدمة

تستخدم “ClayRat” عدة تقنيات معقدة لضمان الوصول المستمر إلى الأجهزة المستهدفة، ومن أبرز هذه الأساليب استغلال دور مدير الرسائل القصيرة في أندرويد. 

هذا الدور المتميز يمنح البرمجية الخبيثة الوصول الكامل إلى وظائف الرسائل دون أن تظهر إشعارات إذن المستخدم المعتادة، مما يسمح لها بقراءة وتخزين وإرسال الرسائل النصية على نطاق واسع دون أن تكتشفها الضحية.

تستفيد البرمجية من طرق تثبيت قائمة على الجلسات تم تصميمها خصيصًا لتجاوز القيود الأمنية المحسّنة في أندرويد 13. حيث يعرض “الدروبرز” شاشات مزيفة لتحديثات متجر “جوجل بلاي” للضحايا، مما يخلق واجهات تثبيت مألوفة في حين تقوم سراً بنقل الحمولات المشفرة المخزنة داخل ملفات التطبيق.

الانتشار الذاتي.. أخطر ميزات الحملة

الميزة الأكثر خطرا في هذه الحملة هي آلية الانتشار الذاتي، تقوم “ClayRat” بتأليف وإرسال روابط خبيثة إلى جميع جهات الاتصال في دليل الهاتف الخاص بالضحية، مما يخلق نمط إصابة متسارع يستفيد من علاقات الثقة الاجتماعية لتوسيع الحملة بسرعة.

من خلال بروتوكولات HTTP القياسية، يتم الاتصال بالبنية التحتية للتحكم والتوجيه (C&C)، حيث يتم تنفيذ تقنيات تشفير Base64 مع سلاسل علامية مثل “apezdolskynet” لتمويه نمط حركة البيانات. 

بينما تستخدم النسخ المتقدمة تشفير AES-GCM للاتصالات الآمنة، مع تحميل الحمولات الديناميكية من الأصول المشفرة لتقليل فرص الكشف.

إن قدرة “ClayRat” على الحفاظ على استمرارية الهجمات وانتشارها على نطاق واسع تجعلها تهديدًا كبيرًا على الأمن الشخصي في عام 2025.