تهديدات سيبرانية تستهدف أجهزة الأيفون و الأندرويد لسرقة بيانات المستخدمين ومحافظ العملات المشفرة

Midnight Mimosa:برمجية خبيثة تتخفى داخل هواتف الأندرويد وتستغلها دون علم المستخدم

كشف باحثون في شركة Bitdefender عن برمجية خبيثة تحمل اسم Midnight Mimosa، تستهدف الهواتف الذكية التي تعمل بنظام التشغيل أندرويد المنخفضة التكلفة المزودة بشرائح MediaTek. وتكمن خطورتها في دمجها مسبقًا داخل البرمجيات الثابتة (firmware)، ما يمنحها صلاحيات واسعة ويجعل إزالتها بالوسائل المعتادة أمرًا بالغ الصعوبة.

وفقًا لتقرير شركة Bitdefender للأمن السيبراني وأمن المعلومات، طالت Midnight Mimosa آلاف الأجهزة في أكثر من ۱٥٠دولة خلال نحو عامين. وتُعد فرنسا من بين الدول الثلاث الأكثر تعرضًا للحملة، إلى جانب المكسيك وإيطاليا. وانتشرت البرمجية الخبيثة مستفيدة من الهواتف المقلدة والتطبيقات المنشورة على متجر Play Store. وتشمل أنشطتها الاحتيال الإعلاني واستغلال اتصالات الضحايا بالإنترنت، إلى جانب امتلاك إمكانات قد تتيح الوصول إلى بيانات حساسة.

كيف تتخفى Midnight Mimosa داخل نظام أندرويد؟

اكتشف باحثو Bitdefender البرمجية باستخدام تقنية App Anomaly Detection، التي رصدت سلوكًا غير طبيعي للمكون com.android.system.lite.ويظهر هذا المكون للمستخدم باسم System، دون أيقونة، بما يجعله يبدو كأنه جزء عادي من نظام التشغيل.

يستطيع هذا البرنامج الخبيث تثبيت التطبيقات وحذفها دون علم المستخدم، وتحميل تعليمات برمجية من خوادم مشغليه. كما يتمتع بامتيازات النظام التي تسمح له بتنفيذ عمليات لا تتاح عادةً للتطبيقات العادية. وقد دمجت هذه البرمجية داخل قسم النظام المخصص لمكونات التشغيل، وتحمل توقيعًا بشهادة مصنع، ما يجعل نظام التشغيل أندرويد يتعامل معها بوصفها مكونًا موثوقًا، ويصعّب اكتشافها والتخلص منها.

كيفية انتشار Midnight Mimosa؟

تصل البرمجية الخبيثة إلى المستخدمين عبر مسارين: هواتف مصابة مسبقًا قبل بيعها، وتطبيقات متاحة على متجر Play Store ومرتبطة بخوادم مشغلي الحملة. ويأتي ذلك بعد حملة BADBOX 2.0، عام ۲٠۲٥حيث تمكن القراصنة من تلويث مليون جهاز أندرويد منخفض التكلفة.

تُظهر تقارير Bitdefender أن بعض الأجهزة المصابة تُسجّل تحت أسماء مثل "S25 Ultra" و"i17 Pro Max"، رغم أنها هواتف مبتدئة مزودة بشرائح MediaTek، ولا ترتبط بشركتي أبل أو سامسونغ. كما كشف التقرير إلى نسخ المزورين الرمز SM-S938B الخاص بهاتف Galaxy S25 Ultra الأصلي. ومن بين الطرازات الأكثر شيوعًا والملوثة ببرمجية Midnight Mimosa هاتف S200 X من Doogee وهاتف KINGKONG X من Cubot. . وقد أبلغ بعض مالكي هذه الأجهزة على منتدى XDA عن وجود حزمة مخفية تحمل اسم com.android.sys.extplv ، مشيرين إلى أنها تعود بعد حذفها باسم جديد. وفي تحليل بعض البرمجيات الثابتة.

لماذا يصعب حذف Midnight Mimosa من الهاتف؟

نظرًا إلى تثبيت البرمجية داخل قسم النظام، لا يمكن حذفها من خلال قوائم أندرويد بالطريقة المعتادة، كما لا تؤدي إعادة ضبط المصنع إلى إزالتها.ويتطلب التخلص منها تنظيف البرمجيات الثابتة أو تعطيل المكون باستخدامAndroid Debug Bridge ، وهي إجراءات لا يستطيع القيام بها معظم المستخدمين. وترى Bitdefender أن الحل الدائم يتطلب تدخل الشركات المصنعة والمنصات التي تبيع هذه الهواتف.

وتزداد صعوبة اكتشاف البرمجية بسبب آلية عمل Google Play Protect، التي تركز أساسًا على مراقبة التطبيقات التي تُنزّل بعد إعداد الهاتف، بينما تكون Midnight Mimosa مثبتة مسبقًا. كما يعطّل مشغلو الحملة متجر Play Store مؤقتًا قبل تثبيت تطبيقات أخرى، ثم يعيدون تشغيله بعد انتهاء العملية، ما يحول دون فحص التطبيقات خلال تلك الفترة.كذلك، يزوّر المشغلون المصدر المعلن للتطبيقات، بحيث تظهر في إعدادات الهاتف إشارة توحي بأن التثبيت جرى من قبل متجر Google Play.

إعلانات احتيالية دون تفاعل المستخدم

لا تعرض Midnight Mimosa إعلانات مباشرة، بل تعتمد على تثبيت تطبيقات مزيفة للطقس أو قفل الشاشة في الخلفية، وتضم هذه التطبيقات مجموعات إعلانية شرعية. وتُستخدم لتوليد مرات ظهور ونقرات مزيفة، تحصل الشبكات الإعلانية مقابلها على عائدات، رغم عدم تفاعل المستخدم مع الشاشة. ووفقًا لـ Bitdefender، يوجد ما لا يقل عن ٣۲ تطبيقًا من هذا النوع. ويجري تثبيتها وإلغاء تثبيتها بالتناوب لتقليل مدة ظهورها في قائمة التطبيقات. كما يستخدم المخترقون علامة الأمان المصممة لشاشات الخدمات المصرفية لإخفاء نشاطهم الإعلاني، بما يمنع المستخدم من التقاط صورة للشاشة أو تسجيلها. وقد حدد الباحثون ۱٣ تطبيقًا للطقس أو قراءة رموز QR على متجر Play Store، تحمل مؤشرات الاحتيال المرتبطة بالحملة.

تحويل الهواتف الملوثة إلى خوادم بروكسي

كما تتيح Midnight Mimosa تحويل بعض الأجهزة الملوثة إلى خوادم بروكسي منزلية، بحيث يتمكن قراصنة آخرون من تمرير حركة المرور عبر عنوان IP الخاص بالضحية. كما يمكن للهاتف المخترق إعادة توجيه حركة البيانات إلى أجهزة أخرى متصلة بشبكة Wi-Fi المنزلية. ويتيح ذلك استغلال اتصال الضحية لتحقيق مكاسب مالية أو إخفاء مصدر أنشطة مشبوهة، فضلًا عن إمكانية استخدام الأجهزة في هجمات حجب الخدمة الموزعة (DDoS).

صلاحيات قد تتيح الوصول إلى الرسائل والبيانات الحساسة

تستطيع البرمجية جمع معلومات عن الهاتف والتطبيقات المثبتة عليه، كما تمتلك آليات تسمح بتفعيل صلاحيات إضافية لاحقًا.ووفقًا لتقرير Bitdefender، منح منفذو الحملة المكون الخبيث إمكانية الوصول إلى خدمات التسهيلات الخاصة ورسائل SMS، بما قد يسمح بقراءة محتوى الشاشة أو اعتراض رموز الاستخدام الواحد المرسلة عبر الرسائل النصية.ولم يرصد الباحثون استخدامًا فعليًا لهذه الصلاحيات حتى الآن، لكنهم أشاروا إلى إمكانية تفعيلها عن بُعد في أي وقت يختاره مشغلو الحملة.

الجهة المسؤولة عن إدراج البرمجية لا تزال مجهولة

لا تزال الجهة المسؤولة عن نشر برمجية Midnight Mimosa في الأجهزة غير معروفة. ويُحتمل أن تكون الشفرة الخبيثة قد أُضيفت خلال التصنيع، أو عند دمج البرمجيات الثابتة، أو عبر الموزع، أو مصنع متعاقد ينتج هواتف تحت علامات تجارية مختلفة "White-label". ورغم العثور على شهادات رقمية مرتبطة بشركة Shenzhen Zediel، لا يوجد دليل يثبت أنها أضافت البرمجية الخبيثة أو كانت على علم بوجودها. تؤكد Bitdefender أن المعالجة الدائمة للمشكلة تتطلب تدخل الشركات المصنعة والمنصات المسؤولة عن بيع الأجهزة المصابة.

 P7 DarkSword لاختراق الأيفون تستهدف بيانات iCloud ومحافظ العملات المشفرة

كشف باحثو الأمن السيبراني في شركة iVerify عن نسخة جديدة من أداة الاختراق DarkSword، تحمل اسم P7 DarkSword، وتستهدف أجهزة الأيفون العاملة بإصدارات محددة من نظام iOS. جاء اكتشاف النسخة الجديدة بعد أن أظهرت الفحوص الأمنية التي أجراها خبراء iVerify أن النشاط المرصود يختلف عن الأنماط المعتادة المرتبطة بالأداة، ما قاد إلى تحديد نسخة معدلة لم تكن معروفة سابقًا.

P7 DarkSword: قدرات متقدمة على التخفي وسرقة البيانات

وفقًا لـ iVerify، تتفوق P7 DarkSword على الإصدارات السابقة في قدرتها على التخفي والاستقرار والوظائف. إذ تقلل آثارها على الجهاز المستهدف، وتحد من عمليات حقن العمليات، وتضيف إمكانات جديدة لاستخراج المعلومات الحساسة.

تشمل البيانات التي تستطيع الأداة جمعها معلومات محافظ العملات المشفرة وبيانات سلسلة مفاتيح iCloud، التي قد تتضمن بيانات اعتماد وأسرارًا حساسة. كما يمكنها الوصول إلى الملفات والصور، والاطلاع على قواعد بيانات تطبيق Apple Notes، وإعداد قائمة بالتطبيقات المثبتة على الجهاز.

لا تقتصر قدراتها على جمع البيانات، بل تشمل أيضًا إنشاء اتصال ثنائي الاتجاه بين الجهاز الملوث وخادم المهاجم ضمن آلية القيادة والتحكم (C2). ويتصل البرنامج افتراضيًا بالبنية التحتية التابعة له كل ۱٥ ثانية لاستطلاع الأوامر، إلى جانب نقل البيانات التي يجمعها من الجهاز.

كيف تعمل أداة DarkSword على أجهزة الأيفون؟

ظهرت برمجية DarkSword الخبيثة علنًا في أوائل مارس ۲٠۲٦، وتعتمد على ربط عدة ثغرات أمنية في نظام iOS لتجاوز بيئة العزل (sandbox) الخاصة ببرنامج التصفح، والوصول إلى امتيازات النواة (kernel)، ثم حقن الحمولة الخبيثة في عملية SpringBoard، المسؤولة عن تشغيل التطبيقات وإدارة الشاشة الرئيسية.

أما الهجمات المرتبطة بالأداة، فتعتمد على استدراج المستخدمين إلى مواقع ويب ملوثة أو مخترقة، وقد تُستخدم الإعلانات الخبيثة في نشرها. ومن الأساليب المستخدمة في هذا السياق "هجوم نقطة الماء" watering hole، الذي يقوم على استهداف صفحات يُحتمل أن يزورها المستخدمون، بدلًا من اختيار كل ضحية مسبقًا. وبمجرد زيارة موقع ملوث، قد يصبح جهاز الأيفون مستهدفًا دون الحاجة إلى تفاعل إضافي معقد من المستخدم، ما يتيح للأداة الوصول إلى بياناته ومواصلة الاتصال بخادم التحكم لتلقي تعليمات جديدة.

جهات متعددة تستخدم DarkSword في هجمات مختلفة

لا تزال هوية الجهة التي طورت DarkSword غير معروفة، لكن التقارير تشير إلى استخدامها من جانب جهات منفصلة، ما يعزز الاعتقاد بأنها انتقلت بين أطراف مختلفة بعد تداولها خارج نطاقها الأصلي.ومن بين الجهات المرتبطة باستخدامها شركة المراقبة التجارية التركية PARS Defense، التي استُخدمت الأداة في هجمات عبر موقع مزيف يحاكي Snapchat. كما استخدمت مجموعة التهديد الموالية لروسيا Star Blizzard، المعروفة أيضًا باسم COLDRIVER، دعوات مزيفة لاستدراج الضحايا.

في  يوليو  ۲٠۲٦، رصدت منصة Censys حملة نفذتها جهة تهديد مجهولة ناطقة باللغة الصينية، استهدفت أجهزة أبل العاملة بنظام iOS، وتضمنت عرض صفحة تسجيل دخول مزيفة لـ Apple ID. وشملت الهجمات المرتبطة بمجموعة أدوات الاستغلال ضحايا في المملكة العربية السعودية وتركيا وماليزيا وأوكرانيا، مع اختلاف الجهات المستخدمة وأساليب الاستهداف.

كذلك، كشفت iVerify عن حالات نادرة جرى فيها دمج DarkSword مع مجموعة أدوات الاستغلال Coruna، وأُطلق على هذا الاستخدام المشترك اسم DarkCoruna.

إصدارات iOS المستهدفة ومدى خطورة الهجمات

تستهدف P7 DarkSword أجهزة الأيفون العاملة بإصدارات محددة قديمة من نظام iOS، تشمل iOS 18.7 وiOS 18.6. ورغم أن احتمالات استهداف المستخدمين العاديين تظل محدودة نسبيًا، فإن الهجمات تركز أساسًا على موظفي المؤسسات الحساسة، ومن يمتلكون محافظ العملات المشفرة، والأشخاص العاملين في مجالات سياسية.

كما تتجاوز المخاطر سرقة بيانات تسجيل الدخول لتشمل المعلومات الشخصية والصور والملفات وبيانات محافظ العملات المشفرة، إلى جانب إمكانية استمرار الاتصال بين الجهاز المصاب وخادم التحكم لتلقي تعليمات جديدة.

كيفية الحد من مخاطر DarkSword

يمثل تحديث الهاتف إلى أحدث إصدار متاح الخطوة الأساسية لتقليل احتمالات التعرض لهذا النوع من الهجمات. وقد أصدرت شركة أبل تصحيحات أمنية للإصدارات المعنية، من بينها iOS 18.7.7، إلى جانب تحديثات مخصصة لبعض الأجهزة الأقدم.وتبرز أهمية هذه التحديثات في الحد من المخاطر المرتبطة باستغلال الثغرات الأمنية التي تعتمد عليها الأداة للوصول إلى الأجهزة المستهدفة وسرقة بياناتها.

يمكن الاستماع لـ "بودكاست النشرة الرقمية" على مختلف منصات البودكاست. الرابط للبودكاست على منصة أبل

للتواصل مع نايلة الصليبي عبر صفحة برنامَج"النشرة الرقمية"من مونت كارلو الدولية على لينكد إن وعلى تويتر salibi@  وعلى ماستودون  وبلوسكاي عبر موقع مونت كارلو الدولية مع تحيات نايلة الصليبي