الأمن التقني

برمجية خبيثة مدمجة مسبقاً تستهدف هواتف أندرويد منخفضة التكلفة

تعمل البرمجية الخبيثة بصلاحيات نظام عالية وتتيح للمهاجمين التحكم عن بُعد في الأجهزة، مما يحوّلها إلى أدوات لعمليات الاحتيال وشبكات البوتنت.

رضوان عبدالهاديمحرر وكاتب تقني

نُشر: 9 أكتوبر 2026 · آخر تحديث: 9 أكتوبر 2026 · 4 دقائق قراءة

برمجية خبيثة مدمجة مسبقاً تستهدف هواتف أندرويد منخفضة التكلفة — الصورة: SecurityWeek

اكتشاف حملة برمجيات خبيثة مدمجة مسبقاً

كشفت شركة Bitdefender عن حملة برمجيات خبيثة جديدة تُعرف باسم Midnight Mimosa، والتي تعمل بشكل أساسي كبرمجية مدمجة مسبقاً في هواتف أندرويد منخفضة التكلفة. هذه البرمجية لا تُثبَّت من قبل المستخدم، بل تأتي مدمجة في نظام التشغيل (Firmware) للأجهزة المبنية على منصات MediaTek. عند تشغيل الجهاز لأول مرة، تكون البرمجية موجودة بالفعل وغير مرئية، مما يمنح المهاجمين سيطرة فورية عن بُعد عبر خوادم التحكم (C2). ويمكن الرجوع إلى SecurityWeek للاطلاع على التفاصيل الأصلية للمصدر.

صلاحيات نظام عالية وإمكانية التحكم الكامل

تتميز هذه البرمجية الخبيثة بأنها تعمل بصلاحيات نظام (System-level privileges) تمنحها القدرة على تنفيذ عمليات حساسة دون تدخل المستخدم. وفقاً لتقرير Bitdefender، يمكن للبرمجية تثبيت وحذف التطبيقات بصمت، ومنح الصلاحيات، وتحميل كود برمجي خارجي يُرسل عن بُعد. هذا يعني أن المشغلين يمكنهم تعديل كل جهاز حسب احتياجاتهم، بما في ذلك تحويله إلى جزء من شبكات بوتنت ضخمة. كما أن البرمجية لا يمكن إزالتها عبر إجراءات إلغاء التثبيت العادية، مما يجعلها تهديداً دائماً ومستمراً.

الهدف: الاحتيال الإعلاني وشبكات البوتنت

تركز حملة Midnight Mimosa بشكل رئيسي على الاحتيال الإعلاني، والنقرات الآلية الاحتيالية، وتحويل الأجهزة المستهدفة إلى مكونات في شبكات بوتنت أكبر. هذا النهج منطقي لحملة تهدف إلى البقاء تحت الرادار باستخدام جيش من الأجهزة. تشير التقارير إلى أن آلاف عمليات النقر الاحتيالية على مدى فترة زمنية معينة توفر عائد استثمار صحي للمهاجمين. كما تُوصف شبكات البوتنت بأنها سلعة مرغوبة يمكن تأجيرها لمهاجمين آخرين، حيث أن حجم الشبكة الأكبر يعني مكافأة أكبر.

انتشار جغرافي واسع في أكثر من 150 دولة

على مدى العامين الماضيين، رصدت Bitdefender آلاف الأجهزة الفريدة المتأثرة بالحملة في أكثر من 150 دولة حول العالم. لا تهيمن دولة أو منطقة واحدة على التوزيع، لكن المكسيك وفرنسا تتصدران القائمة، تليهما إيطاليا والولايات المتحدة وألمانيا والبرازيل وإسبانيا. على المستوى الإقليمي، تبرز أوروبا الغربية والأمريكتان كمنطقتين رئيسيتين للتوزيع. لم يقدم التقرير أي مؤشرات على العائد المالي الفعلي الذي حققه مشغلو الحملة، لكنه قدم قائمة شاملة بمؤشرات الاختراق (IoCs) للمساعدة في منع الانتشار.

وجود تطبيقات خبيثة على متجر Google Play

لم تقتصر الحملة على البرمجيات المدمجة مسبقاً فحسب، بل اكتشفت Bitdefender أيضاً 13 تطبيقاً منشوراً على متجر Google Play تحمل شهادات توقيع منفصلة تحت حسابي مطورين، وتحتوي على نفس كود الاحتيال الإعلاني الخاص بـ Midnight Mimosa. على الرغم من أن تطبيقات متجر Play هذه لا تتمتع بنفس الصلاحيات المرتفعة للبرمجيات المدمجة، إلا أنها تُعتبر مرتبطة بالنظام البيئي الأوسع، مما يمنح المهاجمين قناة توزيع إضافية.

تقنيات التخفي وتجاوز الحماية

سواء كانت البرمجية مدمجة مسبقاً أو محمّلة من متجر Play، شوهدت وهي تعطل متجر Play قبل تثبيت تطبيقات الحمولة الإضافية، ثم تعيد تفعيله لاحقاً، على الأرجح لتجنب الاكتشاف بواسطة Play Protect. لاحظ الباحثون أن الإضافات الخبيثة تعمى حماية Google Play Protect لمدة التثبيت، مما يسمح بحدوث التثبيت الخبيث في نافذة زمنية يكون فيها ماسح Google معطلاً. هذا السلوك يؤكد على الطبيعة المتطورة للحملة في تجاوز آليات الأمان القياسية.

تهديد سلاسل التوريد والأجهزة الرخيصة

يُعتبر Midnight Mimosa تهديداً لسلاسل التوريد (Supply-chain threat)، حيث يتم دمج البرمجية الخبيثة في جهاز أندرويد قبل بيعه للمستخدم النهائي. تتميز الحملة بالبقاء المدمج مسبقاً، والتحكم على مستوى النظام، ونشاط الاحتيال الإعلاني، وإساءة استخدام شبكات الوكلاء، وإدارة الحمولة عن بُعد. هذا يعني أن المهاجمين يملكون سيطرة واسعة على الأجهزة المتأثرة منذ لحظة شرائها، مما يبرز مخاطر الاعتماد على الأجهزة منخفضة التكلفة المجهولة المصدر.