التطبيقات والبرامج

برمجية خبيثة Hirudo تستبدل تطبيقات البنوك بأخرى مصابة

أعلنت شركة ThreatFabric عن رصد برمجية خبيثة جديدة تُعرف باسم Hirudo، تجمع بين خصائص الخيانات المصرفية التقليدية ونظام الوصول عن بُعد (RAT)، وتعمل على استبدال التطبيقات المصرفية الشرعية بنسخ معدلة لتجاوز أنظمة الأمان.

رضوان عبدالهاديمحرر وكاتب تقني

نُشر: 15 أكتوبر 2026 · آخر تحديث: 15 أكتوبر 2026 · 3 دقائق قراءة

برمجية خبيثة Hirudo تستبدل تطبيقات البنوك بأخرى مصابة — الصورة: SecurityWeek

الخلاصة

تستهدف البرمجية حالياً 8 تطبيقات مصرفية إندونيسية، مع إمكانية التوسع مستقبلاً لتشمل بنوكاً في الصين والهند والمكسيك والمغرب وتايلاند.
تعتمد البرمجية على محرك خطاف (Hooking Engine) لإخفاء خدمات إمكانية الوصول والتلاعب في شهادات التوقيع، مما يجعلها غير مرئية لأنظمة الحماية.
تتيح البرمجية للقراصنة مراقبة الشاشة عبر WebRTC، والتحكم في الكاميرات، وجمع رسائل SMS، وسرقة بيانات الدخول في الوقت الفعلي.
توصي ThreatFabric المؤسسات المالية بتعزيز التحقق من سلامة التطبيقات على مستوى الخوادم، وعدم الاعتماد على الإشارات المحلية وحدها.

ظهور برمجية Hirudo الخبيثة

كشفت شركة ThreatFabric المتخصصة في الأمن السيبراني عن رصد برمجية خبيثة جديدة تستهدف أجهزة أندرويد، تحمل اسم Hirudo. وتتميز هذه البرمجية بأنها تجمع بين خصائص الخيانات المصرفية التقليدية ونظام الوصول عن بُعد (RAT) الكامل المزايا، مما يمنح المهاجمين قدرات متقدمة على التحكم في الأجهزة المستهدفة. ويمكن الرجوع إلى SecurityWeek للاطلاع على التفاصيل الأصلية للمصدر.

آلية التسليم والتثبيت

تصل البرمجية إلى الضحايا عبر ملفات زارعة (Droppers) مخفية داخل تطبيقات تبدو شرعية، مثل تطبيقات التسوق أو الفيديو الإباحي أو الدراما القصيرة، والتي يتم الترويج لها عبر وسائل التواصل الاجتماعي. بمجرد تثبيت التطبيق، يتحقق الملف الزارع من وجود برمجية Hirudo على الجهاز، وإذا لم تكن موجودة، يقوم بتثبيتها تلقائياً. ويمكن الرجوع إلى analyzed للاطلاع على التفاصيل الأصلية للمصدر.

استبدال التطبيقات المصرفية

بعد التثبيت، تقوم البرمجية باستبدال التطبيقات المصرفية الشرعية بنسخ معدلة. حالياً، تستهدف البرمجية 8 تطبيقات مصرفية إندونيسية، لكن الكود الداخلي يشير إلى إمكانية استهداف بنوك في دول أخرى مثل الصين والهند والمكسيك والمغرب وتايلاند. عند اكتشاف التطبيق المصرفي المستخدم، تعرض البرمجية نافذة تحديث مزيفة، ثم تقوم بإزالة التطبيق الأصلي وتنزيل نسخة معدلة منه.

تجاوز أنظمة الحماية

تحتوي النسخة المعدلة من التطبيق على محرك خطاف (Hooking Engine) يتجاوز فحوصات التوقيع وخدمات إمكانية الوصول والتقاط الشاشة وسلامة Play. فعندما يطلب التطبيق شهادة التوقيع من أندرويد، يستبدل الخطاف الشهادة الحقيقية بإخفاء توقيع مفتاح الاختبار. وعند الاستعلام عن خدمات إمكانية الوصول المفعلة، يعيد الخطاف قائمة فارغة، مما يجعل الخدمة المسيطرة غير مرئية.

قدرات التحكم عن بُعد

تتيح برمجية Hirudo للقراصنة سرقة بيانات الدخول المصرفية، والتحكم الفوري في أجهزة الضحايا، ومراقبة الشاشة مباشرة عبر WebRTC، والوصول إلى الكاميرات الأمامية والخلفية، وجمع رسائل SMS. وتشمل هذه القدرات مسحاً أولياً لمدة 90 يوماً وقائمة مبرمجة للمرسلين من البنوك والمحافظ.

توصيات أمنية للمؤسسات المالية

توصي ThreatFabric المؤسسات المالية بتعزيز أمانها من خلال التحقق من سلامة Play على مستوى الخوادم، حيث أن الحكم الصالح وحده غير كافٍ لأن البرمجية تعيد توجيه طلبات السلامة عبر خادمها الخاص. كما تنصح بتطبيق دفاعات متعددة الطبقات مع تحليلات سلوكية إضافية، حيث يمكن أن تساعد البيانات السلوكية في اكتشاف النشاط الاحتيالي، بينما يعتبر غيابها مؤشراً على الشبهة. يجب أيضاً التعامل مع إشارات إمكانية الوصول والتقاط الشاشة كأدلة داعمة وليس كحواجز، لأن التطبيقات المزيفة يمكنها إخفاء خدمات إمكانية الوصول الخاصة بها. وأخيراً، يجب الاحتفاظ بتحكمات مخاطر المعاملات الخلفية عند تسجيل الدخول واستعادة البيانات وإنشاء المستفيدين والموافقة على المدفوعات، حيث لا يمكن أن يحل نتيجة محلية مزورة محل قرار الخادم.