تحليل إصابة (Triada) الخاصة بالهواتف

[matic dz]

الصلاة و السلام على اشرف المرسليـن

الحمد لله وحده نحمده و نشكره و نستعينه و نستغفره

و نعود بالله من شرور أنفسنا و من سيئات أعمالنا

من يهده الله فلا مظل له و من يظلل فلن تجد له ولياً مرشدا

و أشهد ألا إله إلا الله وحده لا شريك له

و أن محمداً عبده و رسوله صلى الله عليه و سلم

آعضاء , زوار ,متابعي , اداريين

┌ ▐مـنـتـدى الأمـن و الحمـــاية ▐┐

آسعد الله آوقاتكـــــم

بكل خيــــر

تحليل إصابة (Triada) الخاصة بالهواتف الذكية

في أوائل شهر مارس الماضي كشفت حزمة كاسبرسكي عن تروجان (Backdoor.AndroidOS.Triada)
الذي منح إمتيازات خارقة لتحميل التروجان دون أن يكشف و كذلك فرصة
الحصول على جزء لا يتجزء في عمليات النظام
بعد ذلك بقليل

في 15 مارس وجدنا واحدة من وحدات تمكين هجوم خطير (spoofing URLs loaded in the browser)
أي (خداع عناوين تحميل في المتصفح).

هذه الوحدو الخبيثة تتكون من عدت أجزاء و تم الكشف عنه من طرف حزمة كاسبرسكي بالاسم
(Backdoor.AndroidOS.Triada.p/o/q). عندما يكسب الامتيازات الخارقة
فإنه يستخدم أدوات تصحيح لينيكس العادية لتضمين ملفات
(DLL) الخاصة به
(Triada.q الذي قام بتحميل Triada.o)
في عمليات المتصفحات التالية:

com.android.browser متصفح الأندرويد الافتراضي com.qihoo.browser متصفح 360 security com.ijinshan.browser_fast متصفح Cheetah com.oupeng.browser متصفح Oupeng

تقوم ملفات (dll) بإعتراض معرفات الموارد الموحدة (URLs) التي يدخلها المستعمل ثم تحليلها و إذا
لزم الأمر يتغير الى عنوان آخر. يتم تحميل قواعد تغيير (URL) من الخادم (C&C)
عند تشغيل الوحدة.

تـــــســـلــســل الــــهـــجـــــــــــــــــــوم

في نظام غير مصاب يرسل المتصفح طلب مع عنوان (URL) الى خادم الويب عبر شبكة الأنترنت ليحصل
المستخدم على الصفحة المطلوبة كما هو معروف

بعد الإصابة بتروجان (Triada) ملف (dll) المعترض لمعرفات الموارد الموحدة ( DLL intercepting URLs) تضاف
إلى المتصفح . طلب عنوان معرف الموارد الموحد (The URL address request) يقوم بإيجاد
طريقه الى ملف (DLL) حيث يتم تعديله و إرساله الى خادم ويب آخر.

و نتيجة لذلك فإن المتصفح يتلقى البيانات تختلف عن التي طلبها المستخدم و بالتالي عرض صفحة
أنترنت مختلفة و غريبة.

الآن، هذه السلسلة من الإجراءات تبدأ في الاستخدام من طرف مبرمج التروجان من أجل تغيير محرك البحث الافتراضي
للمستخدم و كذلك الصفحة الرئيسية.
في الأساس، هذه الإجراءات مماثلة للتي تقوم بها العديد من برامج الأد-وار الخاصة بوينداوز و المشكلة هنا في عدم وجود
طريقة لوقف الهجوم و اعتراض المعرفات التي تريد إدخالها بما في ذلك عناوين البنوك و الشراء
الإلكتروني و توجيه الضحية إجباريا الى صفحات التصيد

خلال فترة مراقبة هذه الإصابة تمت مهاجمة 247 مستخدم و لوحظ إنخفاض في عدد الهجمات مع مرور الوقت
و تم تفسير ذلك بأن مصممي هذا التروجان قاموا بتوجيه أنظارهم الى مكان آخر
الخارطة التالية توضح أكثر الأماكن تعرضا لهجمات هذا التروجان

في الختام أود الإشارة إلى أن الهاكر المتخصصون في نظام (Android) جد كسالى و الاسهل لهم
سرقة المال مباشرة. على سبيل المثال مع مساعدة التروجان الذي يقوم بإرسال رسائل إلى
(*******-rate-numbers) أو (spoof banking app windows) إلا أن الأمر يبق صعب جدا
لكن في الأونة الأخيرة بدأت مجموعة من القراصنة بدراسة هذا النظام بشكل دقيق
من أجل شن هجمات متطورة مثل الاصابة التي درسناها أعلاه

منقول