برمجية هيرودو الخبيثة تستبدل تطبيقات البنوك لتجاوز الضوابط الأمنية

نظرة عامة على التهديد

حدد باحثو أمن الأجهزة المحمولة سلالة برمجيات خبيثة متطورة على أندرويد تُدعى هيرودو تستخدم أسلوباً غير معتاد للتهرب من ضوابط أمن تطبيقات البنوك. بدلاً من محاولة التراكب أو اعتراض التطبيقات المصرفية المشروعة، تستبدل البرمجية الخبيثة التطبيقات بالكامل بنسخ معدلة تعطّل الآليات الأمنية المدمجة.

تُوزَّع البرمجية عبر تطبيقات تبدو مشروعة للتسوق أو المحتوى الإباحي أو الدراما القصيرة تعمل كما هو معلن لكنها تعمل كمحمّلات. بمجرد التثبيت، تعرض هذه التطبيقات إشعارات تحديث مزيفة تطالب المستخدمين بمنح أذونات الوصول. ثم تلغي هيرودو تثبيت التطبيق المصرفي الأصلي، وتنزّل نسخة معدلة، وتستخدم امتيازات الوصول لتثبيت البديل دون وعي المستخدم.

أساليب التهرب التقنية

تحتفظ التطبيقات المصرفية المعدلة بكل الكود الأصلي تقريباً لكنها تدمج محرك اعتراض مبني على أطر مفتوحة المصدر. عند التشغيل، يستبدل التطبيق المعدل شهادة التوقيع الأصلية عند الاستعلام، ويخفي خدمات الوصول الممكّنة من الكشف، ويزيل حماية لقطة الشاشة لتمكين المشاهدة عن بُعد، ويتلاعب بشهادات تصديق المفاتيح بينما يُرحّل طلبات Play Integrity عبر بنية تحتية يسيطر عليها المشغلون.

يشير الباحثون إلى أن محرك الاعتراض يعمل داخل عملية التطبيق المصرفي نفسه، مما يحوّل دفاعات التطبيق ضد ذاته فعلياً. لكن توجد قيود معينة: تم تسريب صندوق مفاتيح التصديق المرفق علناً وأدرجت جوجل اثنتين من شهاداته كمخترقة، مما يجعل فحوصات الإبطال من جانب الخادم قادرة على كشف هذه التزويرات.

القدرات التشغيلية والاستهداف

بمجرد التفعيل، يمكن لهيرودو سرقة كلمات مرور البنوك ورموز الدفع وبيانات اعتماد فتح الجهاز ورسائل SMS. توفر البرمجية للمشغلين قدرات بث الشاشة والوصول لكاميرات الجهاز. تجمع صفحات الدفع المزيفة رموز الدفع وتعرض رسائل نجاح ملفقة لخداع الضحايا أثناء سرقة البيانات.

لاحظ الباحثون استهداف البرمجية لتطبيقات مصرفية في إندونيسيا والصين والهند والمكسيك والمغرب وتايلاند. كشفت لوحة خلفية غير محمية عن آلاف إدخالات بيانات اعتماد التطبيقات مع بيانات الجهاز وشاشة القفل والملف المالي، رغم أن إجمالي عدد الضحايا لا يزال مجهولاً. يصف باحثو الأمن هذا بأنه تصعيد متعمد في برمجيات أندرويد المصرفية الخبيثة، ينقل التركيز من فحوصات سلامة الجهاز إلى الآليات الأمنية المضمنة في التطبيقات المصرفية نفسها.