بعض الحيل الجديدة المشؤومة من برامج الرانسوم وير في أندرويد

أظهر بحث جديد أن برامج الرانسوم وير على الأجهزة المحمولة قد شهدت تطورًا مثيرًا للقلق.

على الرغم من وجود برامج الرانسوم وير الضارة منذ سنوات ، إلا أنها تشكل تهديدًا متزايدًا على المستشفيات والحكومات البلدية وأي مؤسسة لا يمكنها تحمل فترات التوقف عن العمل. ولكن إلى جانب الأنواع المختلفة من البرامج الضارة للكمبيوتر الشخصي التي تُستخدم عادةً في هذه الهجمات ، هناك منصة أخرى مزدهرة لبرمجيات الرانسوم وير أيضًا: هواتف الأندرويد. ويظهر بحث جديد من مايكروسوفت أن المتسللين المجرمين يستثمرون الوقت والموارد في تحسين أدوات برامج الفدية على الأجهزة المحمولة في إشارة إلى أن هجماتهم تحقق أرباحًا.

النتائج التي تم إصدارها يوم الخميس ، والتي تم اكتشافها باستخدام مايكروسوفت ديفيندر على الهاتف المحمول ، تبحث في متغير من عائلة اندرويدرانسوم وير المعروفة التي أضافت بعض الحيل الذكية. يتضمن ذلك آلية تسليم مذكرة رانسوم وير جديدة ، وتقنيات محسّنة لتجنب الاكتشاف ، وحتى مكون للتعلم الآلي يمكن استخدامه لضبط الهجوم لأجهزة الضحايا المختلفة. في حين أن برامج رانسوم وير على الأجهزة المحمولة كانت موجودة منذ عام 2014 على الأقل ولا تزال لا تشكل تهديدًا في كل مكان ، إلا أنها قد تكون على استعداد لاتخاذ قفزة أكبر.

يقول تانماي جاناشاريا ، الذي يقود فريق البحث في مايكروسوفت ديفيندر: "من المهم أن يدرك جميع المستخدمين أن برامج الرانسوم وير الضارة موجودة في كل مكان ، وهي ليست فقط لأجهزة الكمبيوتر المحمولة الخاصة بك ولكن لأي جهاز تستخدمه وتتصل بالإنترنت". "الجهد الذي يبذله المهاجمون لاختراق جهاز المستخدم هدفهم هو الاستفادة منه. يذهبون إلى أي مكان يعتقدون أنه يمكنهم فيه تحقيق أكبر قدر من المال."

يمكن لبرامج الرانسوم وير للأجهزة المحمولة تشفير الملفات الموجودة على الجهاز بالطريقة التي تعمل بها برامج الرانسوم وير على جهاز الكمبيوتر ، ولكنها غالبًا ما تستخدم طريقة مختلفة. تتضمن العديد من الهجمات ببساطة لصق شاشتك بالكامل بملاحظة برامج الرانسوم وير التي تمنعك من فعل أي شيء آخر على هاتفك ، حتى بعد إعادة تشغيله. عادة ما يسيء المهاجمون استخدام إذن أندرويد المسمى "SYSTEM_ALERT_WINDOW" لإنشاء نافذة تراكب لا يمكنك رفضها أو التحايل عليها. بدأت أجهزة فحص الأمان في اكتشاف التطبيقات التي يمكن أن تنتج هذا السلوك والإبلاغ عنها ، وقد أضافت جوجل وسائل الحماية ضدها العام الماضي في أندرويد 10. كبديل للنهج القديم ، لا يزال بإمكان برامج الرانسوم وير في أندرويد إساءة استخدام ميزات إمكانية الوصول أو استخدام تقنيات الخرائط لرسم إعادة إنشاء النوافذ المتراكبة.

برامج الرانسوم وير التي لاحظتها في الويندوز ، والتي تسميها AndroidOS / MalLocker.B ، لها إستراتيجية مختلفة. إنها تستدعي وتتلاعب بالإشعارات المعدة للاستخدام عندما تتلقى مكالمة هاتفية. لكن المخطط يتجاوز التدفق المعتاد للمكالمة التي تنتقل في النهاية إلى البريد الصوتي أو تنتهي ببساطة - نظرًا لعدم وجود مكالمة فعلية - وبدلاً من ذلك يقوم بتشويه الإشعارات إلى تراكب مذكرة لرانسوم وير لا يمكنك تجنبها والتي يعطيها النظام الأولوية إلى الأبد.

اكتشف الباحثون أيضًا وحدة للتعلم الآلي في عينات البرامج الضارة التي حللوها والتي يمكن استخدامها لتغيير حجم مذكرة الرانسوم وير وتصغيرها تلقائيًا بناءً على حجم شاشة جهاز الضحية. نظرًا لتنوع أجهزة أندرويد المستخدمة في جميع أنحاء العالم ، ستكون هذه الميزة مفيدة للمهاجمين لضمان عرض مذكرة الرانسوم وير بشكل واضح ومقروء. وجدت مايكروسوفت ، على الرغم من ذلك ، أن مكون ML هذا لم يتم تنشيطه بالفعل داخل برنامج الرانسوم وير وربما لا يزال قيد الاختبار للاستخدام في المستقبل.

في محاولة لتجنب الكشف عن طريق أنظمة الأمان الخاصة بشركة جوجل أو غيرها من أجهزة الفحص المحمولة ، وجد باحثومايكروسوفت أن برنامج الرانسوم وير تم تصميمه لإخفاء وظائفه والغرض منه. يجب أن يشتمل كل تطبيق اندرويد على "ملف بيان" يحتوي على أسماء وتفاصيل مكونات برامجه ، مثل بيان السفينة الذي يسرد جميع الركاب وأفراد الطاقم والبضائع. لكن الانحرافات في ملف البيان غالبًا ما تكون مؤشرًا على وجود برامج ضارة ، وقد تمكن مطورو برامج الرانسوم وير من ترك تعليمات برمجية لأجزاء عديدة من أجهزتهم. بدلاً من ذلك ، قاموا بتشفير هذا الرمز لجعل تقييمه أكثر صعوبة وإخفائه في مجلد مختلف ، لذلك لا يزال من الممكن تشغيل برنامج الرانسوم وير ولكنه لن يكشف على الفور عن نيته الخبيثة استخدم المتسللون أيضًا تقنيات أخرى ، بما في ذلك ما تسميه مايكروسوفت "تشويه الأسماء" ، لتسمية وإخفاء مكونات البرامج الضارة.

يقول جناشاريا من مايكروسوفت ديفيندر: "كان هذا التهديد موجودة منذ فترة ، واستخدمت العديد من الأساليب للتغلب على المستخدم ، ولكن ما رأيناه هنا هو أنه لم يكن يفعل ما توقعناه أو ما كان يفعله في الماضي" .

تقول مايكروسوفت إنها ترى أن برامج الرانسوم وير يتم توزيعها في الغالب من قبل المهاجمين في المنتديات عبر الإنترنت وعبر صفحات الويب العشوائية بدلاً من القنوات الرسمية. عادةً ما يقومون بتسويق البرامج الضارة بجعلها تبدو مثل التطبيقات أو مشغلات الفيديو أو الألعاب الشائعة الأخرى لجذب التنزيلات. وعلى الرغم من وجود بعض الأمثلة المبكرة لبرامج الرانسوم وير في iOS ، إلا أن هذا لا يزال أقل شيوعًا - على غرار الطريقة التي لا تزال بها برامج الرانسوم وير في الماك نادرة نسبيًا. شاركت مايكروسوفت البحث مع جوجل قبل النشر ، وأكدت جوجل لـ مجلة وايرد أن برنامج الرانسوم وير لم يتم العثور عليه في متجر جوجل للتطبيقات .

إن التأكد من تنزيل تطبيقات اندرويد فقط من متاجر التطبيقات الموثوقة مثل جوجب بلاي هو أسهل طريقة لتجنب برامج الرانسوم وير على الأجهزة المحمولة وحماية نفسك من جميع أنواع البرامج الضارة الأخرى أيضًا. ولكن نظرًا لنجاح برامج الرانسوم وير على أجهزة الكمبيوتر في استهداف الشركات الكبيرة والأفراد على حد سواء ، فقد تكون برامج الرانسوم وير على الأجهزة المحمولة قد بدأت للتو.

 كلمات مفتاحية :  رانسوم وير, السرقة علبر النت , اختراق الهواتف، البرامج الضارة, حماية هاتفك, الهكر