برمجيات أندرويد الخبيثة بالتراكب وإمكانية الوصول: Crocodilus وAnatsa وDroidLock
صُمّم نموذج أذونات أندرويد ليتيح للمستخدمين تفويض قدرات ضيقة للتطبيقات. وهناك قدرتان خطيرتان بشكل خاص عند اجتماعهما: الرسم فوق تطبيقات أخرى (SYSTEM_ALERT_WINDOW) وإطار خدمات إمكانية الوصول. الأولى تتيح تراكبات تصيّد دقيقة، والثانية تمنح قراءة الشاشة برمجيًا ومحاكاة إجراءات المستخدم. وفي 2025 أظهرت ثلاث عائلات — Crocodilus وAnatsa وDroidLock — نضج هذا الإساءة. لا تعتمد أي منها على استغلال النواة، بل على الهندسة الاجتماعية وأذونات يمنحها المستخدم طوعًا.
1. نموذج الأذونات ونقاطه العمياء
يفصل أندرويد بين أذونات عادية وأذونات خطرة وقت التشغيل وأذونات خاصة. التراكب وإمكانية الوصول خاصان لأنهما لا يتعلقان بوصول عادي إلى البيانات بل يغيّران تفاعل المستخدم مع الجهاز. تفرض Google مسار إعدادات صريحًا، وأضاف أندرويد 13+ «الإعدادات المقيّدة» للتطبيقات المثبّتة من خارج المتجر، وهي تمنع تفعيل إمكانية الوصول حتى يسمح المستخدم صراحةً.
الحماية ذات معنى لكنها غير كاملة:
- المستخدمون مدربون على الضغط على «السماح». شاشة مزيفة «فعّل إمكانية الوصول للمتابعة» تبدو كخطوة تهيئة مشروعة.
- صُممت إمكانية الوصول للتقنيات المساعدة. يمكنها قراءة النص والنقر والتمرير والرجوع — وهي بالضبط البدائيات اللازمة لتشغيل تطبيق بنكي.
- يمكن أن تكون التراكبات شفافة. يرى الضحية التطبيق الحقيقي تحتها بينما يلتقط البرمج الخبيث النقرات أو يرسم طلب بيانات اعتماد فوقها.
- الdroppers تؤجل الحمولة. التطبيق المثبّت يكون سليمًا وقت المراجعة ثم ينزّل المكوّن الخبيث لاحقًا متجاوزًا فحص المتجر.
2. Crocodilus: تراكب وتحكم عن بُعد
وثّقت ThreatFabric برمج Crocodilus في مارس 2025. استهدف مستخدمي أندرويد في إسبانيا وتركيا قبل التوسع، وسمته المميزة اجتماع تراكبات مع تحكم عن بُعد عبر إمكانية الوصول. عرض البرمج شاشات تسجيل دخول مزيفة فوق تطبيقات بنكية ومحافظ عملات رقمية، ثم استخدم إمكانية الوصول لقراءة الإشعارات واعتراض الرموز لمرة واحدة وتنفيذ نقرات نيابة عن الضحية.
بدأت سلسلة الإصابة عادةً بـ APK مثبّت من خارج المتجر يُسلَّم عبر صفحة تصيّد أو رسالة. وبعد التثبيت طلب التطبيق وصول إمكانية الوصول، وحاول في بعض المتغيرات تعطيل ميزات أمان أو إخفاء أيقونته. يتميز Crocodilus بأنه لم يحتج استغلالًا متطورًا: منح الضحية الإذنين اللذين جعلا الهجوم ممكنًا.
الدرس معماري. إذا استطاع تطبيق قراءة الشاشة ومحاكاة اللمس، فسيستطيع تشغيل أي تطبيق آخر يستطيع المستخدم تشغيله. هذه قدرة وصول عن بُعد لا ميزة راحة.
3. Anatsa: الdropper الذي يعيش في المتجر
Anatsa، المعروف أيضًا بـ TeaBot، حصان طروادة بنكي لأندرويد يُوزَّع عبر تطبيقات dropper في Google Play متنكرة كقارئات PDF وماسحات مستندات وأدوات. لا يحتوي التطبيق المنشور على حمولة بنكية واضحة. وبعد التثبيت ينزّل APK من مرحلة ثانية من خادم بعيد ويطلب من المستخدم «تحديث» التطبيق أو «تفعيله». ثم تطلب المرحلة الثانية إمكانية الوصول وتعرض تراكبات على التطبيقات البنكية.
يهم النمط المدافعين لأنه يبطل فحص «هل هو في Play Store؟» المبسّط. مراجعة المتجر تقييم لحظي، وقد يغيّر dropper سلوكه بعد الموافقة. استهدفت حملات Anatsa مئات التطبيقات المالية في أوروبا والولايات المتحدة، مع تكييف التراكبات لكل تدفق دخول.
لماذا إمكانية الوصول هي المفتاح
<!-- خدمة خبيثة تعلن قدرة إمكانية الوصول -->
<service
android:name=".AccessibilityHandler"
android:exported="true"
android:permission="android.permission.BIND_ACCESSIBILITY_SERVICE">
<intent-filter>
<action android:name="android.accessibilityservice.AccessibilityService" />
</intent-filter>
<meta-data
android:name="android.accessibilityservice"
android:resource="@xml/accessibility_config" />
</service>
يحدد ملف الإعداد ما يمكن للخدمة ملاحظته. ويطلب التطبيق الخبيث أوسع أنواع الأحداث والقدرات، بما فيها canRetrieveWindowContent وcanPerformGestures ومراقبة الإشعارات. وبعد التفعيل يتلقى أحداثًا من كل تطبيق يفتحه المستخدم.
4. DroidLock: عندما تكون الحمولة فدية
في ديسمبر 2025 نشرت Zimperium بحثًا عن DroidLock، عائلة فدية أندرويد تستهدف الناطقين بالإسبانية. وُزّع DroidLock عبر تطبيقات مثبّتة من خارج المتجر، وأساء استخدام إمكانية الوصول وصلاحيات مسؤول الجهاز لقفل الشاشة وتغيير رمز PIN وعرض رسائل ابتزاز. وخلافًا لأحصنة الطروادة البنكية التي تفضّل التخفي، تريد الفدية أن يلاحظ الضحية.
التطور التقني مألوف: تثبيت بالهندسة الاجتماعية، ثم طلب أذونات مرتفعة، ثم إساءة استخدامها لانتزاع التحكم من المستخدم. والأثر الدفاعي نفسه: الجهاز الذي يمنح إمكانية الوصول وصلاحيات مسؤول الجهاز لتطبيق مجهول لم يعد تحت سيطرة مالكه الحصرية.
5. الكشف والتقصي على الجهاز
يمكن لفرق المؤسسات تدقيق الأجهزة المُدارة بالمؤشرات التالية. على جهاز اختبار استخدم adb ومدير الحزم:
# عرض الخدمات التي تعلن قدرة إمكانية الوصول
adb shell dumpsys accessibility | sed -n '1,120p'
# عرض مسؤولي الجهاز
adb shell dumpsys device_policy | grep -i -A3 'admin'
# عرض التطبيقات التي تملك إذن التراكب
adb shell appops query-op SYSTEM_ALERT_WINDOW allow
# فحص الحزم المثبتة حديثًا ومصادر تثبيتها
adb shell pm list packages -3 -i
ابحث عن تطبيقات بأسماء بريئة («PDF Reader» أو «Cleaner» أو «Wallet Update») تطلب إمكانية الوصول أو لا علاقة لها بالمساعدة، أو ثُبّتت من متصفح أو تطبيق رسائل لا من متجر. وتحقق مما إذا كان التطبيق يخفي أيقونته أو يطلب صلاحيات مسؤول الجهاز أو ينزّل APK بعد التثبيت.
6. ضوابط دفاعية
- قيّد التثبيت من خارج المتجر. على الأجهزة المُدارة عطّل التثبيت من مصادر غير معروفة واشترط managed Google Play. وعلى الأجهزة الشخصية عامل أي APK يصل عبر محادثة كخبيث حتى يثبت العكس.
- فرض قوائم سماح لإمكانية الوصول. يمكن لإدارة الأجهزة تقييد الحزم المسموح لها بربط خدمة إمكانية الوصول. وللمستخدمين عالي المخاطر راجع الخدمات المفعّلة شهريًا.
- احجب إذن التراكب بالسياسة. معظم تطبيقات الإنتاجية لا تحتاج
SYSTEM_ALERT_WINDOW. ارفضه افتراضيًا واطلب استثناءً. - احمِ رموز OTP. لا تعتمد رسائل SMS كعامل ثانٍ وحيد. استخدم مصادقة مقاومة للتصيّد مثل passkeys أو مفاتيح أمان مادية.
- راقب سلوك الdroppers. نبّه على التطبيقات التي تثبّت APK آخر أو تطلب إمكانية الوصول بعد الإطلاق أو تعرض شاشة تطلب «تفعيل» إعداد أمان.
- حدّث النظام. أبقِ تحديثات أندرويد الأمنية حديثة. تقلل الإعدادات المقيّدة وتحذيرات إمكانية الوصول من السطح دون إزالته.
7. الخاتمة
Crocodilus وAnatsa وDroidLock حمولات مختلفة مبنية على أساس واحد: أذونات خاصة يمنحها المستخدم. لا يكسر البرمج الخبيث نموذج أمان أندرويد بل يقنع المستخدم بتوسيعه. على المدافعين معاملة إمكانية الوصول والتراكب كقدرات عالية الخطورة، وتدقيقها باستمرار، وتصميم مصادقة تبقى آمنة حتى عندما يقرأ تطبيق آخر الشاشة. الضابط الأكثر فعالية ليس توقيعًا، بل سياسة أذونات تفترض أن المستخدم سيضغط «السماح» في النهاية.