كشفت شركة الأمن السيبراني «بيت ديفندر» عن حملة خبيثة واسعة النطاق تستهدف الهواتف الذكية منخفضة التكلفة العاملة بنظام أندرويد، حيث يتم شحن بعض الأجهزة ببرمجيات ضارة مزروعة مسبقًا داخل البرنامج الثابت للجهاز «Firmware»، ما يسمح للمهاجمين بالتحكم بها وتحويلها إلى عقد ضمن شبكات بروكسي سكنية، إلى جانب تنفيذ عمليات احتيال إعلاني وتثبيت تطبيقات دون علم المستخدم.
وتتعقب الشركة هذه الحملة تحت اسم «Midnight Mimosa»، مؤكدة أن النشاط يستهدف أجهزة أندرويد المبنية على منصات «MediaTek» والموزعة تحت علامات تجارية متعددة، الأمر الذي يعكس اتساع نطاق التهديد واحتمال ارتباطه بسلسلة التوريد الخاصة بالأجهزة الإلكترونية.
برمجية مزروعة في قلب النظام
بحسب نتائج التحقيق، تعمل البرمجية الخبيثة تحت اسم الحزمة «com.android.system.lite»، وتتمتع بصلاحيات نظامية عالية المستوى تمنحها القدرة على تنفيذ أوامر حساسة لا تستطيع التطبيقات التقليدية الوصول إليها.
وتسمح هذه الامتيازات للبرمجية بتثبيت أو إزالة ما لا يقل عن 32 تطبيقًا متنكرًا بشكل دوري، إضافة إلى منح نفسها صلاحيات إضافية تتعلق بخدمات إمكانية الوصول والإشعارات والرسائل النصية القصيرة. كما تستطيع تحميل وتشغيل تعليمات برمجية جديدة يتم إرسالها عن بُعد من قبل القائمين على الحملة.
وتعتمد الآلية التشغيلية للبرمجية على الاتصال بخادم خارجي للحصول على إعدادات ديناميكية وتكوينات تشغيلية جديدة، ثم تنزيل حمولات إضافية تتضمن وظائف متخصصة في الاحتيال الإعلاني وتثبيت التطبيقات الشريكة أو حذفها سرًا.
وأوضحت «بيت ديفندر» أن تلك الإمكانات تعني فعليًا أن مشغلي الحملة قادرون على إدارة الأجهزة المصابة عن بُعد وتخصيص وظائفها وفق احتياجاتهم، بما في ذلك ضمها إلى شبكات بوت نت ضخمة تستخدم في أنشطة إجرامية متنوعة.
كيف تحقق العصابة أرباحها من الضحايا؟
رغم أن البرمجية الأساسية لا تنفذ النقرات الاحتيالية بنفسها، فإنها تعمل كمنصة تمهيدية تتيح تنزيل تطبيقات أخرى متخصصة في تحقيق الدخل غير المشروع.
وتتنكر هذه التطبيقات في صورة أدوات خدمية عادية تبدو للمستخدمين شرعية وغير مثيرة للشكوك، بينما تستخدم في الواقع حزم تطوير إعلانية رسمية لعرض الإعلانات بطريقة خفية. ويتمثل الهدف النهائي في إنشاء نوافذ غير مرئية فوق التطبيقات الأخرى بحيث يتم احتساب مشاهدات ونقرات إعلانية دون أن يلاحظ المستخدم أي نشاط غير طبيعي.
ويحصل المهاجمون من خلال هذه التقنية على عائدات مالية من شبكات الإعلانات الرقمية عبر توليد تفاعلات مزيفة تبدو وكأنها صادرة عن مستخدمين حقيقيين.
كما تجمع الحملة بيانات متعلقة بالأجهزة والتطبيقات المثبتة عليها، فضلًا عن تحويل الهواتف المصابة إلى عقد بروكسي سكنية تستخدم في تمرير حركة الإنترنت وإخفاء هوية أطراف أخرى على الشبكة، وهي خدمة مطلوبة بشدة في بعض أنشطة الاحتيال الإلكتروني وعمليات تجاوز القيود الجغرافية.
تطبيقات على متجر جوجل مرتبطة بالبنية التحتية للهجوم
في تطور لافت، كشفت التحقيقات عن وجود 13 تطبيقًا على متجر «Google Play» كانت تتواصل مع الخوادم ذاتها المستخدمة للتحكم في البرمجية الخبيثة، ما يشير إلى أن النشاط لا يقتصر على الأجهزة المصابة مسبقًا عبر البرنامج الثابت.
ومن بين التطبيقات التي تم رصدها: Wavrge وAudify وQR Pocket وWeatherGo وCoolWeather وDaily Weather وNoteMaster وTasky وغيرها من التطبيقات التي تقدم وظائف حقيقية للمستخدم مثل الطقس أو قراءة رموز QR أو استخراج النصوص.
ورغم أنها توفر خدمات فعلية، فإنها كانت تعرض الإعلانات خارج نطاق التطبيق نفسه، بما في ذلك أثناء عدم استخدام الهاتف بصورة مباشرة، وهو سلوك يثير مخاوف بشأن استغلال التطبيقات الشرعية كغطاء لأنشطة إعلانية مشبوهة.
ولم تعد هذه التطبيقات متاحة حاليًا للتنزيل عبر متجر جوجل بلاي.
ومن اللافت أيضًا أن البرمجية الخبيثة كانت تقوم مؤقتًا بتعطيل متجر جوجل بلاي قبل تثبيت بعض الحمولات الإضافية، ثم تعيد تفعيله لاحقًا، وهي خطوة يُعتقد أنها تهدف إلى الالتفاف على آليات الحماية التي يوفرها نظام «Play Protect».
شبهة اختراق لسلسلة التوريد وانتشار عالمي واسع
أظهرت التحليلات أن البرمجية رُصدت على أجهزة تحمل برامج ثابتة موقعة بشهادات رقمية منسوبة إلى شركة «Shenzhen Zediel Co., Ltd» الصينية المصنعة لبعض أجهزة أندرويد. ومع ذلك، لم تتوصل التحقيقات حتى الآن إلى أدلة تثبت تورط الشركة أو علمها المسبق بوجود البرمجية.
وأشارت «بيت ديفندر» إلى أن الطبيعة المسبقة للإصابة توحي بوجود اختراق في سلسلة التوريد، وهو أحد أخطر أنواع الهجمات السيبرانية، نظرًا لأن الأجهزة تصل إلى المستخدم وهي مصابة بالفعل قبل تشغيلها لأول مرة.
كما رصد الباحثون أوجه تشابه وتقاطعًا في بعض البنى التحتية المستخدمة مع برمجية أخرى تُعرف باسم «Android.Phantom»، والتي وثقتها شركة «Doctor Web» مطلع عام 2026، وكانت تستغل الألعاب والتطبيقات المعدلة لتنفيذ عمليات احتيال بالنقرات.
وأظهرت البيانات أن غالبية الأجهزة المصابة تتركز في المكسيك، تليها فرنسا وإيطاليا والولايات المتحدة وألمانيا والبرازيل وإسبانيا والمملكة المتحدة وكندا ورومانيا وبولندا وتايلاند.
وعلى مدار نحو عامين، تم رصد آلاف الأجهزة الفريدة المصابة في أكثر من 150 دولة حول العالم. وتشير المؤشرات إلى أن العديد من الهواتف المتأثرة تنتمي إلى فئة الأجهزة منخفضة السعر أو الأجهزة البيضاء «White-Label» أو حتى المنتجات المقلدة التي تستعير أسماء طرز شهيرة من هواتف «Samsung Galaxy» و«Apple iPhone» لإيهام المشترين بجودتها.
وتعيد هذه الحادثة إلى الواجهة المخاطر المتزايدة المرتبطة بالإصابات المزروعة داخل البرامج الثابتة للأجهزة، إذ سبق أن كشفت شركة «كاسبرسكي» خلال العام الماضي عن برمجية «Keenadu» التي وُجدت مثبتة مسبقًا على بعض الأجهزة اللوحية العاملة بنظام أندرويد بهدف تنفيذ عمليات احتيال إعلاني مماثلة.
ويرى خبراء الأمن السيبراني أن هذا النوع من البرمجيات يمثل فئة مختلفة وأكثر خطورة من التهديدات التقليدية، لأن المستخدم لا يستطيع عادة إزالة المكون الأساسي المصاب بوسائل الحذف المعتادة، كون البرمجية توجد داخل قسم النظام نفسه. ويعني ذلك أن معالجة المشكلة تتطلب إعادة تثبيت البرنامج الثابت أو إجراء تعديلات تقنية متقدمة عبر أدوات المطورين، وهو أمر يتجاوز قدرات معظم المستخدمين العاديين، ما يجعل المسؤولية الأساسية تقع على عاتق الشركات المصنعة للأجهزة ومنصات البيع والتوزيع.
