- تمكن KoSpy من التسلل إلى متجر Google Play من خلال التظاهر بأنه تطبيقات شرعية.
- وكان نطاقها محدودا وموجها نحو أهداف محددة للغاية، وخاصة في كوريا الجنوبية.
- يمكن لبرامج التجسس التجسس على الرسائل والمكالمات وحتى تسجيل الصوت أو التقاط لقطات شاشة.
- قامت شركة جوجل بإزالة التطبيقات الضارة بعد أن حذرها الباحثون، لكن الخطر لا يزال قائما.
يشهد مجال الأمن السيبراني للأجهزة المحمولة أوقاتًا مضطربة. بعد معرفة وجود ونشاط KoSpy. إنه برنامج تجسس كوري متطور تم تصميمه خصيصًا لأجهزة Android. وقد دُق ناقوس الخطر في قطاع أمن التكنولوجيا، لأنه على الرغم من ضوابط متجر التطبيقات الرائد عالميًا، متجر Google Play، فقد نجح برنامج التجسس هذا في الوصول إلى المستخدمين دون إثارة الشكوك. ويقوم خبراء الأمن والحكومات والكيانات الخاصة بتحليل حجم المشكلة والبحث عن حلول للتهديد الذي هز ثقة ملايين المستخدمين.
إن قصة KoSpy وظهوره الأخير على هواتف Android ليست مجرد حالة برمجيات خبيثة لمرة واحدة.ولكنه مثال نموذجي لكيفية تطور مجرمو الإنترنت وإيجاد طرق بديلة للالتفاف على الحواجز الأمنية الأكثر تقدمًا. وكانت الحملة متطورة بشكل خاص، إذ كانت تخفي نواياها وراء تطبيقات تبدو غير ضارة وتستخدم البنية التحتية الحديثة مثل Firebase للتحكم والتواصل. لذلك، من المهم أن نفهم بعمق كيف تعمل، ومن تأثر بها، وما الذي يمكن فعله لتجنب مخاطر مماثلة في المستقبل.
ما هو KoSpy ومن يقف وراءه؟
KoSpy هو برنامج تجسس مصمم خصيصًا لإصابة أجهزة Android، بهدف مراقبة وسرقة المعلومات السرية من المستخدمين المتضررين. وقد أثبتت الأبحاث التي أجرتها شركات الأمن السيبراني الرائدة، مثل Lookout، أن برامج التجسس هذه مرتبطة بمجموعة APT37. تُعرف أيضًا باسم ScarCruft، وهي مجموعة من مجرمي الإنترنت بدعم من الحكومة الكورية الشمالية ونشطة، بحسب التقارير، منذ عام 2012.
تتمتع هذه المجموعة بسجل موثق جيدًا في حملات التجسس الإلكتروني. تستهدف بشكل رئيسي كوريا الجنوبية. وعلى الرغم من ذلك فقد وسعوا نطاق عملهم مع مرور الوقت إلى بلدان أخرى، بما في ذلك اليابان وفيتنام وروسيا ونيبال والصين والهند والكويت ورومانيا والعديد من دول الشرق الأوسط. تم تحديد مسؤولية الحكومة الكورية الشمالية من خلال التحقيقات المتقاطعة وتحليل البنية التحتية المستخدمة، بما في ذلك عناوين IP المرتبطة بالحكومة الكورية الشمالية.
طريقة التوزيع: من متجر Play إلى هاتفك المحمول
الأمر الأكثر إثارة للقلق بشأن KoSpy ليس فقط قدراته التقنية، ولكن أيضًا الطريقة التي تمكن بها من التوسع دوليًا. على عكس أحصنة طروادة الأخرى أو البرامج الضارة التي تعتمد على إهمال المستخدم لإصابة الأجهزة من خلال صفحات مشبوهة أو روابط خطيرة. قرر KoSpy توزيع نفسه من خلال متجر Play الرسمي لشركة Google.. وقد وجهت هذه الخطوة ضربة قوية لسمعة جوجل وأثارت تساؤلات حول أنظمة الكشف التلقائي والمراجعة اليدوية.
تمكن مجرمو الإنترنت من تحميل ما يصل إلى خمسة تطبيقات احتيالية. تم تقديمهم جميعًا كأدوات أساسية وبأسماء عامة مثل 'مدير الملفات''كاكاو سيكيوريتي"أو"أداة تحديث البرامج'. تمكنت هذه التطبيقات التي تبدو غير ضارة، والتي تحتوي على وظائف ضئيلة أو حتى غير موجودة، من اجتياز ضوابط الأمان الخاصة بشركة Google من خلال عدم إظهار أي سلوك غير طبيعي في الكود الأولي الخاص بها.
علاوة على ذلك، فقد عرف أن كما استخدمت التطبيقات الضارة أيضًا خدمات الطرف الثالث مثل Firebase لتحديث خوادم التحكم والتواصل معها.. Firebase، المملوكة لشركة Google، عبارة عن منصة سحابية يستخدمها ملايين المطورين لتخزين البيانات وإدارة مشاريع التطبيقات. ويوضح استخدامه في حملة KoSpy مدى قدرة المهاجمين على التنقل في نظام Android ومدى معرفتهم بأدواته.
كيف يعمل KoSpy بعد تثبيته؟
تتجه عمليات KoSpy نحو أقصى درجات السرية والحصول على أكبر قدر ممكن من المعلومات دون تنبيه المستخدم. عندما يتم تثبيت أحد هذه التطبيقات الاحتيالية وتشغيله، يتم تنشيط المكون الضار ويظل مخفيًا في الخلفية. من تلك اللحظة فصاعدًا، يقوم KoSpy بإنشاء اتصال مشفر بخوادم بعيدة يسيطر عليها المهاجمون، مما يسمح له بتلقي تعليمات جديدة، وتنزيل وحدات إضافية، وضبط سلوكه ليناسب الهدف المقصود.
من بين القدرات المؤكدة لـ KoSpy:
- اعتراض وقراءة الرسائل النصية القصيرة، مما يسمح بمراقبة المحادثات الخاصة وحتى اعتراض رموز المصادقة الثنائية.
- الوصول إلى سجلات المكالمات، مما يسمح لك بمعرفة من يتصل، ومدة المكالمة، ومن أين.
- تحديد موقع الجهاز بدقة في الوقت الفعلي، مما يسمح بتتبع موقع المستخدم المستهدف وحركاته.
- الوصول إلى الملفات والمجلدات المخزنة على الجهاز، مما يجعل من السهل سرقة المستندات أو الصور أو أي بيانات مخزنة داخليًا.
- تسجيل الصوت عبر الميكروفون والتقاط الصور أو الفيديو بكاميرات الهاتف، مما يوفر للمهاجمين أدوات مراقبة كاملة.
- تعتبر لقطات الشاشة وتسجيلات الشاشة حساسة بشكل خاص إذا قام المستخدم بالوصول إلى معلومات مصرفية أو تجارية أو إدخال كلمات مرور.
- تسجيل ضغطات المفاتيح (keylogger)، والذي يعرض كلمات المرور وتفاصيل تسجيل الدخول للحسابات المهمة.
- جمع المعلومات حول شبكة Wi-Fi وجميع التطبيقات المثبتة، مما يوسع نطاق التجسس إلى الحسابات الأخرى ذات الصلة.
تُظهر مجموعة الميزات الشاملة هذه السبب يعد KoSpy أحد أخطر برامج التجسس التي تم اكتشافها على Android في الآونة الأخيرة.. وما يثير القلق أيضًا هو احتمال أن تكون التطبيقات الضارة قد تلقت تحديثات عن بعد بميزات جديدة، والتكيف مع اهتمامات المهاجمين في الوقت الفعلي.
من تأثر بحملة KoSpy؟
على الرغم مما قد يبدو من وجوده في متجر Play، لم تكن حملة KoSpy ضخمة، لكنها كانت تستهدف ضحايا محددين.. وبحسب تقارير Lookout وبيانات التنزيل الخاصة بـ Google Play، فإن التطبيق "الأكثر نجاحًا" ('File Manager – Android') بالكاد تمكن من تجاوز عشرة تنزيلات. ولكن هذا لا يعني أن الخطر أقل، بل يعني أن القصد كان تجنب إثارة الشكوك والوصول إلى أجهزة الأشخاص المعنيين: المسؤولين، وأعضاء الشركات الرئيسية، والدبلوماسيين، والصحفيين، أو النشطاء.
ومن المرجح أن يكون الاستهداف مخصصًا، باستخدام الهندسة الاجتماعية أو الإحالات الخارجية لتشجيعهم على تثبيت التطبيقات المصابة. وتشير لغة التطبيقات (الكورية والإنجليزية) أيضًا إلى أن التركيز كان على المستخدمين الكوريين الجنوبيين.وعلى الرغم من اتساع نطاق البلدان التي عملت فيها ScarCruft في الماضي، فليس من المستبعد أن يكون هناك ضحايا في مناطق أخرى مثل اليابان أو فيتنام أو حتى أوروبا.
وكان جزء من فعالية الحملة يرجع إلى الثقة المفرطة في متجر التطبيقات الرسمي. تمكن المهاجمون من الاستفادة من السمعة القوية لـ Google Play لجعل تطبيقاتهم تبدو شرعية، حتى للمستخدمين الذين لديهم بعض التدريب على الأمن السيبراني. وهذا يوضح مدى سهولة الوقوع في الفخ، حتى عندما يكون البرنامج مدعومًا من قبل مزود تكنولوجيا رئيسي.
رد فعل جوجل والإجراءات المتخذة
وبمجرد أن أصبح وجود KoSpy معروفًا، انطلقت أجراس الإنذار بسرعة في Google وبين اللاعبين الرئيسيين في الصناعة. وقد أبلغت شركة Lookout شركة Google حتى قبل نشر نتائجها، ولحسن الحظ، كانت الاستجابة فورية: تمت إزالة جميع التطبيقات ذات الصلة من متجر Play وتم تعطيل المشاريع المرتبطة على Firebase..
وبالمثل، تم تحديث Google Play Protect (نظام الحماية المدمج في هواتف Android) لتحديد وحظر أي إصدارات معروفة من KoSpy. يمنع هذا الدرع الأمني الآن تثبيت ليس فقط التطبيقات التي تم تحديدها بالفعل، بل أيضًا التطبيقات الأخرى التي قد تستخدم نفس التعليمات البرمجية الضارة في المستقبل.
ومع ذلك، من المهم التأكيد على أن جميع الحلول المطبقة هي حلول تفاعلية، وليست استباقية. وهذا يعني أنها تنشأ بعد اكتشاف التهديد، وبالتالي بعد إصابة بعض الأجهزة بالفعل.
كانت إحدى التفاصيل الأكثر لفتًا للانتباه في التحقيق هي المسار الذي تركه المطور المزعوم للتطبيقات الخبيثة.. وكان جميعهم مرتبطين بشركة “Android Utility Developer” وحساب البريد الإلكتروني mlyqwl@gmail.com. لقد تم حظر هذه البيانات وحذفها، ولكنها لا تزال تسلط الضوء على الحاجة إلى تحسين عناصر التحكم في تحديد هوية المطورين والتحقق منها على متجر Google Play.
طرق التوزيع الأخرى والمخاطر المستقبلية
بالإضافة إلى متجر Play، تم اكتشاف بعض التطبيقات المصابة بـ KoSpy على متاجر بديلة مثل APKPure. هذه ليست حادثة معزولة: إذ يسعى مجرمو الإنترنت بشكل متزايد إلى إيجاد قنوات توزيع جديدة، مستغلين تجزئة نظام أندرويد البيئي ولامركزية عروض التطبيقات.
وتعتبر قضية KoSpy بمثابة تحذير للمستخدمين للبقاء يقظين وعدم التهاون في حذرهم.. حتى عندما يقومون بتنزيل التطبيقات من مصادر معروفة مثل Google Play. إن تطور مجموعات التجسس الإلكتروني، وخاصة تلك المدعومة من الدول، يشير إلى أننا سنشهد هجمات مماثلة في المستقبل، باستخدام تقنيات متطورة بشكل متزايد يصعب اكتشافها بالعين المجردة.
كيف تحمي نفسك من التهديدات مثل KoSpy؟
لتجنب الوقوع ضحية لبرامج التجسس المتقدمة مثل KoSpy، من الضروري اتباع ممارسات أمان رقمية جيدة معينة عند استخدام أجهزة Android بشكل يومي. وفيما يلي بعض التوصيات الرئيسية:
- قم بتنزيل التطبيقات فقط من المطورين ذوي السمعة الطيبة والذين لديهم تقييمات تم التحقق منها على Google Play. كن حذرًا من التطبيقات التي تحتوي على عدد قليل من التنزيلات، أو التي تحتوي على تقييمات عامة، أو لا تحتوي على معلومات عن المطور.
- حافظ على تحديث نظامك وجميع تطبيقاتك. تحتوي التحديثات غالبًا على تصحيحات أمان للثغرات الأمنية المكتشفة حديثًا.
- قم بتنشيط Google Play Protect وقم بإجراء عمليات فحص دورية للتطبيقات المثبتة لديك.
- تجنب تثبيت التطبيقات من متاجر الطرف الثالث أو ملفات APK التي تم تنزيلها من الإنترنت، إلا إذا كانت من مصادر موثوقة تمامًا.
- قم بمراجعة الأذونات التي تطلبها التطبيقات. إذا طلب تطبيق الآلة الحاسبة الوصول إلى الميكروفون أو الكاميرا، فكن حذرًا وابحث عن بدائل.
- إذا كنت محترفًا أو لديك إمكانية الوصول إلى معلومات حساسة، فقم بتعزيز إجراءات الحماية الخاصة بك. فكر في استخدام حلول أمنية متقدمة أو خدمات استشارات الأمن السيبراني.
الدروس المستفادة وما يكشفه KoSpy عن الأمن السيبراني اليوم
كان ظهور KoSpy بمثابة جرس إنذار لجميع اللاعبين في نظام Android البيئي. من المستخدمين الأفراد إلى مطوري التطبيقات ومديري أمن الشركات، يحتاج الجميع إلى أن يكونوا أكثر وعياً بحقيقة التهديدات المتقدمة. ومن جانبها، تم حث شركة جوجل على تحسين أنظمة الكشف عن التطبيقات ومراجعتها ومراقبتها، بالإضافة إلى استجابتها للحوادث العالمية.
وتكشف هذه القضية عن مدى الضعف الذي يمكن أن تتسم به حتى آليات الأمن الأكثر قوة.. إذا كان لدى المهاجمين الموارد والصبر والذكاء للتغلب عليهم. وهذا يوضح أيضًا أن التهديدات المتقدمة لا تستهدف عادةً الإصابة الجماعية، بل تسعى إلى الحصول على معلومات والسيطرة على ضحايا محددين للغاية، الأمر الذي يتطلب يقظة شديدة على المستويين الفردي والشركاتي.
وتُعد قصة KoSpy مثالاً آخر على كيفية تطور تعقيد التهديدات السيبرانية بنفس وتيرة التكنولوجيا. إن قدرتها على التسلل إلى متجر Play ومراقبة وسرقة البيانات الحساسة تُظهر أنه بغض النظر عن مدى الأمان الذي نعتقد أننا نتمتع به، فإن أفضل وسيلة للدفاع تظل مزيجًا من الوقاية والحذر والتحديث المستمر لأنظمة الأمن الرقمي والمعرفة لدينا. شارك هذه المعلومات حتى يعرف المستخدمون الآخرون عن الموضوع.