قامت Microsoft بتفصيل الإمكانات المتطورة لتطبيقات البرامج الضارة للاحتيال على نظام Android ، مشيرة إلى "تدفق الهجمات المعقدة متعدد الخطوات" وآلية محسّنة للتهرب من تحليل الأمان.
ينتمي الاحتيال الإلكتروني إلى فئة من عمليات الاحتيال في الفواتير حيث تأتي تطبيقات الهاتف المحمول الخبيثة برسوم اشتراك مخفية ، مما يؤدي إلى تقييد المستخدمين المطمئنين بالمحتوى المتميز دون علمهم أو موافقتهم.
كما أنه يختلف عن تهديدات البرامج الملاحية الأخرى من حيث أن الوظائف الضارة لا يتم تنفيذها إلا عند توصيل جهاز مخترق بأحد مشغلي الشبكة المستهدفين.
قال ديميتريوس فالساماراس وسانغ شين جونغ من فريق Microsoft 365 Defender Research Team في تقرير شامل : "إنها تستخدم أيضًا ، بشكل افتراضي ، الاتصال الخلوي لأنشطتها وتجبر الأجهزة على الاتصال بشبكة الهاتف المحمول حتى في حالة توفر اتصال Wi-Fi". التحليلات.
"بمجرد تأكيد الاتصال بشبكة مستهدفة ، فإنها تبدأ سرًا في اشتراك احتيالي وتؤكده دون موافقة المستخدم ، وفي بعض الحالات تعترض كلمة المرور لمرة واحدة (OTP) للقيام بذلك."
من المعروف أيضًا أن هذه التطبيقات تمنع إشعارات الرسائل القصيرة المتعلقة بالاشتراك لمنع الضحايا من إدراك المعاملة الاحتيالية وإلغاء الاشتراك من الخدمة.
في جوهره ، يستفيد الاحتيال في الرسوم من طريقة الدفع التي تمكن المستهلكين من الاشتراك في الخدمات المدفوعة من مواقع الويب التي تدعم بروتوكول التطبيقات اللاسلكية (WAP). يتم تحميل رسوم الاشتراك هذه مباشرة على فواتير الهاتف المحمول الخاصة بالمستخدمين ، وبالتالي تجنب الحاجة إلى إعداد بطاقة ائتمان أو بطاقة خصم أو إدخال اسم مستخدم وكلمة مرور.
"إذا كان المستخدم يتصل بالإنترنت من خلال بيانات الهاتف المحمول ، يمكن لمشغل شبكة الهاتف المحمول التعرف عليه من خلال عنوان IP" ، كما أشارت Kaspersky في تقرير عام 2017 حول WAP فوترة أجهزة نقر طروادة. "مشغلي شبكات الهاتف المحمول يفرضون رسومًا على المستخدمين فقط إذا تم تحديدهم بنجاح."
اختياريًا ، يمكن لبعض مقدمي الخدمة أيضًا طلب كلمة المرور لمرة واحدة (OTPs) كطبقة ثانية لتأكيد الاشتراك قبل تنشيط الخدمة.
قال الباحثون: "في حالة الاحتيال في الرسوم ، تقوم البرمجيات الخبيثة بالاشتراك نيابة عن المستخدم بطريقة لا يمكن إدراك العملية الكلية لها". "ستتواصل البرامج الضارة مع خادم [الأمر والتحكم] لاسترداد قائمة بالخدمات المعروضة."
يحقق ذلك عن طريق إيقاف تشغيل Wi-Fi أولاً وتشغيل بيانات الهاتف المحمول ، متبوعًا باستخدام JavaScript للاشتراك خلسة في الخدمة ، واعتراض رمز OTP وإرساله (إن أمكن) لإكمال العملية.
تم تصميم شفرة JavaScript ، من جانبها ، للنقر فوق عناصر HTML التي تحتوي على كلمات رئيسية مثل "تأكيد" و "انقر" و "متابعة" لبدء الاشتراك برمجيًا.
عند الاشتراك الاحتيالي الناجح ، يقوم البرنامج الضار إما بإخفاء رسائل إعلام الاشتراك أو إساءة استخدام أذونات الرسائل القصيرة لحذف الرسائل النصية الواردة التي تحتوي على معلومات حول الخدمة المُشتركة من مشغل شبكة الهاتف المحمول.
من المعروف أيضًا أن البرامج الضارة للاحتيال المحصنة تخفي سلوكها الضار عن طريق تحميل التعليمات البرمجية الديناميكي ، وهي ميزة في Android تسمح للتطبيقات بسحب وحدات إضافية من خادم بعيد أثناء وقت التشغيل ، مما يجعلها جاهزة للإساءة من قبل الجهات الفاعلة الضارة.
من وجهة نظر الأمان ، يعني هذا أيضًا أن مؤلف البرامج الضارة يمكنه تصميم تطبيق بحيث لا يتم تحميل الوظيفة المخادعة إلا عند استيفاء بعض المتطلبات الأساسية ، مما يؤدي بشكل فعال إلى التغلب على فحوصات تحليل التعليمات البرمجية الثابتة.
"إذا سمح أحد التطبيقات بتحميل الشفرة الديناميكية وكانت الشفرة التي تم تحميلها ديناميكيًا تستخرج الرسائل النصية ، فسيتم تصنيفها كبرنامج ضار خلفي" ، كما توضح Google في وثائق المطورين الخاصة بها حول التطبيقات التي قد تكون ضارة (PHAs).
مع معدل تثبيت يبلغ 0.022٪ ، شكلت تطبيقات الاحتيال الحصيلة 34.8٪ من جميع تطبيقات PHA المثبتة من سوق تطبيقات Android في الربع الأول من عام 2022 ، لتحتل المرتبة الثانية بعد برامج التجسس. نشأت معظم المنشآت من الهند وروسيا والمكسيك وإندونيسيا وتركيا.
للتخفيف من خطر البرامج الضارة للاحتيال ، يوصى بأن يقوم المستخدمون بتثبيت التطبيقات فقط من متجر Google Play أو مصادر موثوقة أخرى ، وتجنب منح أذونات مفرطة للتطبيقات ، والنظر في الترقية إلى جهاز جديد في حالة توقفه عن تلقي تحديثات البرامج.