تهديدات سيبرانية تستهدف أجهزة الأيفون و الأندرويد لسرقة بيانات المستخدمين ومحافظ العملات المشفرة

تنقل نايلة الصليبي في"النشرة الرقمية" تقارير شركتي أمن المعلومات والأمن السيبراني  Bitdefender و iVerify عن برمجيات خبيثة تستهدف أجهزة الأيفون والأندرويد، لسرقة بيانات المستخدمين ومحافظ العملات المشفرة ،وتحويل الأجهزة الملوثة إلى بروكسي منزلي يتيح استغلال اتصال الضحية لتحقيق مكاسب مالية أو إخفاء مصدر أنشطة مشبوهة، فضلًا عن إمكانية استخدام الأجهزة في هجمات حجب الخدمة الموزعة.

Midnight Mimosa:برمجية خبيثة تتخفى داخل هواتف الأندرويد وتستغلها دون علم المستخدم

كشف باحثون في شركة Bitdefender عن برمجية خبيثة تحمل اسم Midnight Mimosa، تستهدف الهواتف الذكية التي تعمل بنظام التشغيل أندرويد المنخفضة التكلفة المزودة بشرائح MediaTek. وتكمن خطورتها في دمجها مسبقًا داخل البرمجيات الثابتة (firmware)، ما يمنحها صلاحيات واسعة ويجعل إزالتها بالوسائل المعتادة أمرًا بالغ الصعوبة.

وفقًا لتقرير شركة Bitdefender للأمن السيبراني وأمن المعلومات، طالت Midnight Mimosa آلاف الأجهزة في أكثر من ۱٥٠دولة خلال نحو عامين. وتُعد فرنسا من بين الدول الثلاث الأكثر تعرضًا للحملة، إلى جانب المكسيك وإيطاليا. وانتشرت البرمجية الخبيثة مستفيدة من الهواتف المقلدة والتطبيقات المنشورة على متجر Play Store. وتشمل أنشطتها الاحتيال الإعلاني واستغلال اتصالات الضحايا بالإنترنت، إلى جانب امتلاك إمكانات قد تتيح الوصول إلى بيانات حساسة.

كيف تتخفى Midnight Mimosa داخل نظام أندرويد؟

اكتشف باحثو Bitdefender البرمجية باستخدام تقنية App Anomaly Detection، التي رصدت سلوكًا غير طبيعي للمكون com.android.system.lite.ويظهر هذا المكون للمستخدم باسم System، دون أيقونة، بما يجعله يبدو كأنه جزء عادي من نظام التشغيل.

يستطيع هذا البرنامج الخبيث تثبيت التطبيقات وحذفها دون علم المستخدم، وتحميل تعليمات برمجية من خوادم مشغليه. كما يتمتع بامتيازات النظام التي تسمح له بتنفيذ عمليات لا تتاح عادةً للتطبيقات العادية. وقد دمجت هذه البرمجية داخل قسم النظام المخصص لمكونات التشغيل، وتحمل توقيعًا بشهادة مصنع، ما يجعل نظام التشغيل أندرويد يتعامل معها بوصفها مكونًا موثوقًا، ويصعّب اكتشافها والتخلص منها.

كيفية انتشار Midnight Mimosa؟

تصل البرمجية الخبيثة إلى المستخدمين عبر مسارين: هواتف مصابة مسبقًا قبل بيعها، وتطبيقات متاحة على متجر Play Store ومرتبطة بخوادم مشغلي الحملة. ويأتي ذلك بعد حملة BADBOX 2.0، عام ۲٠۲٥حيث تمكن القراصنة من تلويث مليون جهاز أندرويد منخفض التكلفة.

تُظهر تقارير Bitdefender أن بعض الأجهزة المصابة تُسجّل تحت أسماء مثل "S25 Ultra" و"i17 Pro Max"، رغم أنها هواتف مبتدئة مزودة بشرائح MediaTek، ولا ترتبط بشركتي أبل أو سامسونغ. كما كشف التقرير إلى نسخ المزورين الرمز SM-S938B الخاص بهاتف Galaxy S25 Ultra الأصلي. ومن بين الطرازات الأكثر شيوعًا والملوثة ببرمجية Midnight Mimosa هاتف S200 X من Doogee وهاتف KINGKONG X من Cubot. . وقد أبلغ بعض مالكي هذه الأجهزة على منتدى XDA عن وجود حزمة مخفية تحمل اسم com.android.sys.extplv ، مشيرين إلى أنها تعود بعد حذفها باسم جديد. وفي تحليل بعض البرمجيات الثابتة.

لماذا يصعب حذف Midnight Mimosa من الهاتف؟

نظرًا إلى تثبيت البرمجية داخل قسم النظام، لا يمكن حذفها من خلال قوائم أندرويد بالطريقة المعتادة، كما لا تؤدي إعادة ضبط المصنع إلى إزالتها.ويتطلب التخلص منها تنظيف البرمجيات الثابتة أو تعطيل المكون باستخدامAndroid Debug Bridge ، وهي إجراءات لا يستطيع القيام بها معظم المستخدمين. وترى Bitdefender أن الحل الدائم يتطلب تدخل الشركات المصنعة والمنصات التي تبيع هذه الهواتف.

وتزداد صعوبة اكتشاف البرمجية بسبب آلية عمل Google Play Protect، التي تركز أساسًا على مراقبة التطبيقات التي تُنزّل بعد إعداد الهاتف، بينما تكون Midnight Mimosa مثبتة مسبقًا. كما يعطّل مشغلو الحملة متجر Play Store مؤقتًا قبل تثبيت تطبيقات أخرى، ثم يعيدون تشغيله بعد انتهاء العملية، ما يحول دون فحص التطبيقات خلال تلك الفترة.كذلك، يزوّر المشغلون المصدر المعلن للتطبيقات، بحيث تظهر في إعدادات الهاتف إشارة توحي بأن التثبيت جرى من قبل متجر Google Play.

إعلانات احتيالية دون تفاعل المستخدم

لا تعرض Midnight Mimosa إعلانات مباشرة، بل تعتمد على تثبيت تطبيقات مزيفة للطقس أو قفل الشاشة في الخلفية، وتضم هذه التطبيقات مجموعات إعلانية شرعية. وتُستخدم لتوليد مرات ظهور ونقرات مزيفة، تحصل الشبكات الإعلانية مقابلها على عائدات، رغم عدم تفاعل المستخدم مع الشاشة. ووفقًا لـ Bitdefender، يوجد ما لا يقل عن ٣۲ تطبيقًا من هذا النوع. ويجري تثبيتها وإلغاء تثبيتها بالتناوب لتقليل مدة ظهورها في قائمة التطبيقات. كما يستخدم المخترقون علامة الأمان المصممة لشاشات الخدمات المصرفية لإخفاء نشاطهم الإعلاني، بما يمنع المستخدم من التقاط صورة للشاشة أو تسجيلها. وقد حدد الباحثون ۱٣ تطبيقًا للطقس أو قراءة رموز QR على متجر Play Store، تحمل مؤشرات الاحتيال المرتبطة بالحملة.

تحويل الهواتف الملوثة إلى خوادم بروكسي

كما تتيح Midnight Mimosa تحويل بعض الأجهزة الملوثة إلى خوادم بروكسي منزلية، بحيث يتمكن قراصنة آخرون من تمرير حركة المرور عبر عنوان IP الخاص بالضحية. كما يمكن للهاتف المخترق إعادة توجيه حركة البيانات إلى أجهزة أخرى متصلة بشبكة Wi-Fi المنزلية. ويتيح ذلك استغلال اتصال الضحية لتحقيق مكاسب مالية أو إخفاء مصدر أنشطة مشبوهة، فضلًا عن إمكانية استخدام الأجهزة في هجمات حجب الخدمة الموزعة (DDoS).

صلاحيات قد تتيح الوصول إلى الرسائل والبيانات الحساسة

تستطيع البرمجية جمع معلومات عن الهاتف والتطبيقات المثبتة عليه، كما تمتلك آليات تسمح بتفعيل صلاحيات إضافية لاحقًا.ووفقًا لتقرير Bitdefender، منح منفذو الحملة المكون الخبيث إمكانية الوصول إلى خدمات التسهيلات الخاصة ورسائل SMS، بما قد يسمح بقراءة محتوى الشاشة أو اعتراض رموز الاستخدام الواحد المرسلة عبر الرسائل النصية.ولم يرصد الباحثون استخدامًا فعليًا لهذه الصلاحيات حتى الآن، لكنهم أشاروا إلى إمكانية تفعيلها عن بُعد في أي وقت يختاره مشغلو الحملة.

الجهة المسؤولة عن إدراج البرمجية لا تزال مجهولة

لا تزال الجهة المسؤولة عن نشر برمجية Midnight Mimosa في الأجهزة غير معروفة. ويُحتمل أن تكون الشفرة الخبيثة قد أُضيفت خلال التصنيع، أو عند دمج البرمجيات ال