RemControlحصان طروادة مصرفي يستهدف مستخدمي أندرويد في أوروبا ودول الخليج ويستعين بالذكاء الاصطناعي

تنقل نايلة الصليبي في"النشرة الرقمية" تحذيرGroup-IB للأمن السيبراني وأمن المعلومات، من إنتشار برمجية حصان طروادة مصرفية  RemControl، حيث تستهدف عمليات التصيد الاحتيالي مؤسسات مصرفية في كل من إيطاليا وفرنسا وإسبانيا وبولندا والبرتغال وكندا، إلى جانب بعض الدول الأعضاء في مجلس التعاون الخليجي.

تحذير أمني: RemControl حصان طروادة مصرفي يستهدف تطبيقات أندرويد وأوروبا والدول العربية

اكتشف باحثو Group-IB للأمن السيبراني وأمن المعلومات حصان طروادة مصرفيًا جديدًا لنظام التشغيل أندرويد يحمل اسم RemControl، وهو برنامج خبيث لم يُسجَّل من قبل. وتشمل قائمة الأهداف لعمليات التصيد الاحتيالي التي ينفذها مؤسسات مصرفية للأفراد في كل من إيطاليا وفرنسا وإسبانيا وبولندا والبرتغال وكندا، إلى جانب بعض الدول الأعضاء في مجلس التعاون الخليجي.

تأتي فرنسا، إلى جانب إيطاليا، ضمن الهدفين الرئيسيين للحملات الأولية، فيما صُممت نسختان مختلفتان من البرمجية الخبيثة خصيصًا لاستهداف فرنسا. وتقول Group-IB إنها حددت أكثر من ٣٠مؤسسة مالية ضمن قائمة أهداف RemControl.

RemControl يعمل بنموذج البرمجيات الخبيثة كخدمة

لا تقتصر مؤشرات اتساع نطاق التهديد على عدد المؤسسات المستهدفة؛ إذ يدعم برنامج "dropper" الخاص بـ RemControl أكثر من ثلاثين لغة، ما يشير إلى إمكانية توسيع الحملات مستقبلًا إلى مناطق جغرافية تتجاوز تلك التي رُصد فيها البرنامج حتى الآن.

Droppe هو نوع من البرامج الخبيثة وظيفتها الأساسية هي "فتح باب خلفي " لتنزيل وتثبيت برمجيات خبيثة أخرى (مثل برامج الفدية أو الفيروسات) على الجهاز المستهدف. يتميز بكونه صغيراً وخفيفاً وغالباً ما يتجاوز برامج الحماية في المرحلة الأولى لأنه يخفي الحمولة الحقيقية بداخله حتى يتم تنشيطه داخل النظام.

تعود أقدم العينات التي رصدها الباحثون إلى يوليو ۲٠۲٦، فيما تشير التحقيقات إلى أن البنية التحتية الخاصة بالبرنامج كانت نشطة منذ مايو ۲٠۲٦. ويعمل RemControl وفق نموذج "البرمجيات الخبيثة كخدمة " Malware-as-a-Service "، أي يمكن توفيره لأي قرصان عن طريق الاشتراك.

إعلانات احتيالية تقود إلى صفحة مزيفة لتطبيق TVTap

تبدأ الحملة بصفحة مزيفة تحاكي تطبيق TVTap، وهو تطبيق IPTV غير متوفر على متجر غوغل "بلاي ستور". ويعتمد القراصنة على صفحات خبيثة ينشرونها عبر إعلانات احتيالية malvertising على "فيسبوك" و"إنستغرام"، مع تصميم الإعلانات لاستهداف مستخدمي الهواتف الذكية. وبعد تثبيت التطبيق، يبدأ RemControl نشاطه من دون لفت انتباه المستخدم، مستغلًا تقنيات متعددة للتحايل على أنظمة الحماية.

يقوم برنامج dropper الخاص بـ RemControl بحجب Google Play Protect أثناء التثبيت، عبر تشغيل خدمة شبكة خاصة افتراضية VPN محلية تقطع الاتصال بخدمة مكافحة الفيروسات من غوغل.

كما ينشئ شهادة توقيع فريدة لكل عملية تثبيت بهدف تجاوز آليات الكشف القائمة على التجزئة والشهادات. ويُحدَّد عنوان خادم التحكم والسيطرة ديناميكيًا عبر قناة dead-drop مشفرة على تطبيق "تيليغرام"، بما يسمح بتبديل البنية التحتية من دون الحاجة إلى إعادة تجميع البرنامج الخبيث.

سرقة بيانات الاعتماد والتحكم الكامل في الأجهزة

بعد تعطيل الحماية، ينتقل RemControl إلى استغلال خدمة الوصول "Accessibility Service" في نظام أندرويد لعرض شاشات تصيد احتيالي فوق التطبيقات المصرفية الشرعية، ما يتيح له سرقة رقم التعريف الشخصي، أي رموز PIN وكلمات المرور وبيانات بطاقات الائتمان.

كما يقوم RemControl بمراقبة الشاشة آنيا وتسجيل كل ضغطة على لوحة المفاتيح الافتراضية. كما يستطيع RemControl استعادة نمط فتح القفل في معظم الهواتف الذكية التي تعمل بنظام أندرويد

بدءًا من سامسونج وصولًا إلى شياومي، مرورًا بهواوي وأوبو ووان بلس. كما يمنح القراصنة تحكمًا كاملًا عن بُعد بالأجهزة الملوثة ويمنع إزالة تثبيته.

انكشاف لوحة C2 يكشف بنية الهجوم وأوامره والذكاء الاصطناعي

كشف تحقيق Group-IB عن  وثائق واجهة برمجة التطبيقات (API) الخاصة بلوحة التحكم والسيطرة C2  ؛ما أتاح الاطلاع على مجموعة الأوامر الكاملة، ونظام إدارة التراكب، وآليات تتبع الشركاء التابعين، إضافة إلى البنية التحتية للبناء. وطبقات التصيد الاحتيالي.

كما أظهر تحليل البنية التحتية أدلة على استخدام الذكاء الاصطناعي في تطوير أجزاء من RemControl  .فقد عثر الباحثون في أسفل إحدى صفحات التصيد الاحتيالي على إجابة كاملة من مساعد يعمل بالذكاء الاصطناعي، تضمنت ملاحظات حول التنفيذ وملخصًا للتعديلات التي أُجريت، إلى جانب اقتراح نهائي لتقديم مساعدة إضافية.ولتجاوز القيود الأمنية التي تحول دون طلب تطوير برنامج خبيث بصورة مباشرة من نموذج الذكاء الاصطناعي، قدم القراصنة المشروع للذكاء الاصطناعي على أنه تطبيق "للرقابة الأبوية"، فيما وُصفت الطبقات المصرفية لإظهار نوافذ مزيفة فوق تطبيقات الخدمات المصرفية الشرعية بأنها "شاشات اختبار"، ووُصف الضحايا بعبارة "شخص يحدق في الاختبار".

Group-IB تربط الحملة بجهة التهديد UNKK

حدد تقرير Group-IB الجهة المهددة threatactor المسؤولة عن حملة RemControl باسم "UNKK""، مع إمكانية وجود صلة محتملة بشبكة البوتات Botnet التابعة لـمجموعة" Medusa UNKN".

وتُعد هذه الجهة من المجموعات الهجومية التي تدير وتوزع برمجية Medusa الخبيثة، وتحديدًا تروجان المصارف Medusa Android Banking Trojan. وقد رصد الباحثون أوجه تشابه في أسماء النطاقات وأساليب الانتشار.

كيف يتجنب المستخدمون الوقوع في فخ RemControl؟

تبقى النصيحة الأساسية هي الوعي والحذر، وعدم تثبيت أي تطبيق من خارج متجر غوغل Play Store، مع توخي الحذر من التطبيقات التي تطلب الوصول إلى Accessibility Service –"خدمة إمكانية الوصول" من دون سبب وجيه.

كما ينبغي عدم إدخال "رقم التعريف الشخصي " رمز PIN أو بيانات الاعتماد المصرفية في شاشة تظهر بشكل مفاجئ.

وعند وجود شك، يُنصح بالاتصال بالمصرف عبر قناة رسمية، ويفضل استخدام جهاز آخر غير الجهاز الملوث بالبرمجية الخبيثة.

يمكن الاستماع لـ "بودكاست النشرة الرقمية" على مختلف منصات البودكاست. الرابط للبودكاست على منصة أبل

للتواصل مع نايلة الصليبي عبر صفحة برنامَج"النشرة الرقمية"من مونت كارلو الدولية على<a target="_blank" href="http://www.li