انتبه! Zombinder يصبح مخترق وسائط لنشر البرامج الضارة على تطبيقات Android الرسمية

باحثون من شركة الأمن السيبراني ThreatFabric يدرسون Zombinder. (الصورة: وثيقة. ثريت فابريك)

جاكرتا - تم العثور على حصان طروادة المصرفي ERMAC قد تسلل إلى تطبيق Android شرعي لجذب المستخدمين إلى تثبيت برامج ضارة يصعب اكتشافها بواسطة أدوات الأمان المعروفة أيضا باسم مكافحة الفيروسات ، من خلال مزود خدمة ويب مظلم تابع لجهة خارجية يطلق عليه اسم Zombinder.

درس باحثون من شركة الأمن السيبراني ThreatFabric Zombinder أثناء التحقيق في حملة أخرى لنشر البرامج الضارة باستخدام حصان طروادة المصرفي ERMAC. هم ، يستهدفون مستخدمي Android و Windows.

أنتجت الدراسة أدلة على حملة وزعت برامج ضارة لسطح المكتب بما في ذلك Erbium و Aurora thieves و Laplas clippers ، إلى جانب ERMAC.

أثناء التحقيق في نشاط ERMAC ، اكتشف الباحثون حملات مثيرة للاهتمام تتظاهر بأنها تطبيقات لخدمات بث كرة القدم لمصادقي Wi-Fi. تحمل حزمة البرامج الضارة المرتبطة بها أيضا نفس اسم التطبيق الشرعي.

تم توزيعه من خلال موقع ويب مزيف من صفحة واحدة يحتوي على زرين فقط. تعمل هذه الأزرار كروابط تنزيل لإصدار Android من التطبيق الوهمي الذي طورته ERMAC ، وهو عديم الفائدة للمستخدم النهائي ولكنه مصمم لتسجيل ضغطات المفاتيح ، بالإضافة إلى سرقة رموز المصادقة الثنائية (2FA) وبيانات اعتماد البريد الإلكتروني ومحافظ البيتكوين.

بعض التطبيقات الضارة المتاحة من Zombinder هي على الأرجح مسؤولية مطور ERMAC الأساسي ، DukeEugene. وجد الباحثون أيضا بعض التطبيقات متنكرة في شكل تطبيقات Instagram شرعية ، بالإضافة إلى تطبيقات أخرى تحتوي على قوائم على متجر Google Play.

علاوة على ذلك ، كما هو الحال غالبا مع حملات البرامج الضارة ، يتم استخدام القطارات التي يتم الحصول عليها من الويب المظلم من قبل الجهات الفاعلة في التهديد حتى تتمكن تطبيقاتها من تجنب اكتشافها ، في هذه الحالة Zombinder.

يقوم Droppers بتثبيت ما هو وظيفيا نسخة نظيفة من التطبيق ، ولكن بعد ذلك يعطي المستخدم تحديثا يحتوي بعد ذلك على برامج ضارة.

إطلاق TechRadar ، الأربعاء ، 14 ديسمبر ، هو نظام تسليم ذكي ، خاصة مع التطبيقات التي تدعي أنها تأتي من بائعين عامين موثوق بهم مثل Meta ، حيث من المرجح أن يقوم المستخدمون بتثبيت التحديثات من مطوري التطبيقات الذين يعرفونهم.

وفقا ل ThreatFabric ، تم الإعلان عن خدمة Dropper الخاصة هذه في مارس 2022 وأصبحت شائعة بين الجهات الفاعلة في مجال التهديد.

يحدث الهجوم لأن Android له طبيعة مفتوحة ، حيث يمكن للمستخدم تثبيت التطبيقات التي تم الحصول عليها من مستودعات أخرى غير متجر Google Play ، وحتى من مطوري التطبيقات أنفسهم.