برمجية RedWing تستهدف مستخدمي أندرويد عبر خدمة مؤجرة في تيليجرام، وتمنح المحتالين أدوات جاهزة لسرقة بيانات البنوك ورموز التحقق.
ما هي برمجية RedWing ولماذا تثير القلق؟
ظهرت RedWing كعملية احتيال مصرفي جديدة تستهدف هواتف أندرويد، لكنها لا تُدار بالطريقة التقليدية. الجديد هنا أن البرمجية تُعرض كخدمة اشتراك جاهزة داخل تيليجرام، ما يفتح الباب أمام مجرمين بمهارات تقنية محدودة.
وبحسب التفاصيل التي تابعها تيكبامين، فإن الخدمة لا تكتفي بتوفير البرمجية نفسها، بل تشمل باقات اشتراك، ومواد شرح، وفيديوهات تعليمية، وحتى خصومات إحالة. هذا النموذج يجعل تنفيذ الاحتيال الرقمي أسرع وأسهل من السابق.
كيف تعمل الخدمة فعلياً؟
يعتمد المشغلون على بوت داخل تيليجرام لإنشاء تطبيق خبيث مخصص لكل مشتري عند الطلب. وهذا يعني أن المهاجم يمكنه اختيار أهدافه ثم الحصول على نسخة معدلة تناسب حملته مباشرة.
- إنشاء تطبيقات خبيثة مخصصة تلقائياً
- توفير أدلة استخدام للمشتركين
- نظام اشتراكات يشبه خدمات البرمجيات التجارية
- خفض الحاجة إلى خبرة برمجية متقدمة
كيف تبدأ إصابة RedWing على هواتف أندرويد؟
تبدأ العدوى عادة عبر رابط تصيد يقود الضحية إلى صفحة متجر تطبيقات مزيفة. هذه الصفحة يمكن أن تحاكي متاجر شهيرة، أو تُبنى بشكل مخصص مع تقييمات ومراجعات وأرقام تنزيلات وهمية لإقناع المستخدم.
بعد ذلك يُطلب من الضحية تثبيت التطبيق من خارج المتجر الرسمي ثم منح سلسلة من الأذونات الحساسة. ويتم تقديم هذه الطلبات تدريجياً، بحيث تبدو كخطوات طبيعية لتحسين عمل التطبيق وليس كإشارات خطر واضحة.
- تعطيل قيود البطارية
- تعيين التطبيق كتطبيق الرسائل الافتراضي
- تفعيل الإشعارات
- منح خدمة إمكانية الوصول Accessibility
الجزء الأخطر هو طلب تفعيل إمكانية الوصول، لأنها تمنح البرمجية القدرة على قراءة ما يظهر على الشاشة والتحكم في الهاتف بشكل واسع.
ما الذي يمكن أن تفعله برمجية RedWing بعد الاختراق؟
بمجرد حصولها على الأذونات المطلوبة، تملك RedWing سيطرة كبيرة على الجهاز. وهنا لا يقتصر الخطر على سرقة كلمة المرور، بل يمتد إلى مراقبة جلسة الضحية البنكية نفسها واعتراض رموز التحقق المؤقتة.
- الاستيلاء على بيانات تسجيل الدخول البنكية
- قراءة الرسائل النصية ورموز التحقق
- مراقبة التطبيقات المستهدفة عبر Accessibility
- عرض نوافذ مزيفة فوق التطبيقات الأصلية
- التحكم في بعض وظائف الهاتف عن بُعد
استهداف مرن وقابل للتغيير
تشير المعلومات إلى أن التطبيقات التي تراقبها البرمجية تُحدد داخل كل نسخة عند إنشائها، بينما يمكن تعديل أهداف النوافذ الوهمية لاحقاً من لوحة التحكم دون الحاجة إلى إرسال تطبيق جديد. هذا يمنح المهاجمين مرونة كبيرة في تحديث الهجمات.
لماذا تُعد RedWing تهديداً متصاعداً للقطاع المالي؟
رُصد استهداف 82 جهة ومؤسسة عبر عدة قطاعات، مع تركيز واضح على مؤسسات مالية روسية، لكن طبيعة هذه الخدمة تعني أن القائمة يمكن أن تتغير في أي وقت. كما أن عدداً ملحوظاً من العينات الحالية قادر على الإفلات من بعض أدوات الحماية التقليدية.
الأخطر أن برمجية RedWing تعكس تحولاً في الاحتيال على أندرويد نحو تنفيذ الهجوم من داخل جلسة الضحية نفسها، بدلاً من الاكتفاء بسرقة كلمة المرور. ولهذا يرى تيكبامين أن الحماية تبدأ بعدم تثبيت أي تطبيق من روابط خارجية، خصوصاً عندما يطلب أذونات مبالغاً فيها للوصول إلى الخدمات البنكية.
