يتم استخدام تحديثات المتصفح المزيفة لدفع برنامج ضار يعمل بنظام أندرويد غير موثق مسبقًا يسمى Brokewell .

وقالت شركة الأمن الهولندية ثريت فابريك ThreatFabric في تحليل نُشر يوم الخميس: "Brokewell عبارة عن برنامج ضار مصرفي حديث نموذجي مزود بقدرات سرقة البيانات والتحكم عن بعد المضمنة في البرامج الضارة".

ويقال إن البرمجيات الخبيثة قيد التطوير النشط، حيث تضيف أوامر جديدة لالتقاط أحداث اللمس والمعلومات النصية المعروضة على الشاشة والتطبيقات التي يطلقها الضحية.

قائمة تطبيقات Brokewell التي تتنكر باسم Google Chrome وID Austria وKlarna هي كما يلي -

jcwAz.EpLIq.vcAZiUGZpK (جوجل كروم)
zRFxj.ieubP.lWZzwlluca (ID النمسا)
com.brkwl.upstracking (كلارنا)
مثل عائلات البرامج الضارة الحديثة الأخرى التي تعمل بنظام أندرويد، فإن Brokewell قادر على التغلب على القيود التي تفرضها Google والتي تمنع التطبيقات المحملة جانبيًا من طلب أذونات خدمة إمكانية الوصول.

يقوم حصان طروادة المصرفي، بمجرد تثبيته وإطلاقه لأول مرة، بمطالبة الضحية بمنح أذونات لخدمة إمكانية الوصول، والتي يستخدمها لاحقًا لمنح أذونات أخرى تلقائيًا وتنفيذ أنشطة ضارة مختلفة.

يتضمن ذلك عرض شاشات متراكبة أعلى التطبيقات المستهدفة لسرقة بيانات اعتماد المستخدم. ويمكنه أيضًا سرقة ملفات تعريف الارتباط عن طريق تشغيل WebView وتحميل موقع الويب الشرعي، وبعد ذلك يتم اعتراض ملفات تعريف الارتباط للجلسة ونقلها إلى خادم يتحكم فيه الممثل.

تتضمن بعض الميزات الأخرى لـ Brokewell القدرة على تسجيل الصوت، والتقاط لقطات الشاشة، واسترداد سجلات المكالمات، والوصول إلى موقع الجهاز، وقائمة التطبيقات المثبتة، وتسجيل كل حدث يحدث على الجهاز، وإرسال رسائل نصية قصيرة، وإجراء مكالمات هاتفية، وتثبيت التطبيقات وإلغاء تثبيتها ، وحتى تعطيل خدمة الوصول.

يمكن للجهات الفاعلة في مجال التهديد أيضًا الاستفادة من وظيفة التحكم عن بعد الخاصة بالبرامج الضارة لرؤية ما يتم عرضه على الشاشة في الوقت الفعلي، بالإضافة إلى التفاعل مع الجهاز من خلال النقرات والتمرير واللمسات.

يقال إن Brokewell هو عمل مطور يحمل اسم "Baron Samedit Marais" ويدير مشروع "Brokewell Cyber ​​Labs"، والذي يتضمن أيضًا Android Loader مستضافًا بشكل عام على Gitea.

تم تصميم أداة التحميل لتكون بمثابة أداة قطارة تتجاوز قيود أذونات الوصول في إصدارات Android 13 و14 و15 باستخدام تقنية تم اعتمادها مسبقًا من خلال عروض القطارة كخدمة (DaaS) مثل SecuriDropper ونشر غرسة طروادة.

افتراضيًا، تحمل تطبيقات أداة التحميل التي تم إنشاؤها من خلال هذه العملية اسم الحزمة "com.brkwl.apkstore"، على الرغم من أنه يمكن للمستخدم تكوينها إما عن طريق توفير اسم محدد أو تمكين منشئ اسم الحزمة العشوائي.

إن التوفر المجاني للمحمل يعني أنه يمكن أن يتم احتضانه من قبل جهات تهديد أخرى تتطلع إلى تجاوز إجراءات الحماية الأمنية لنظام Android.

وقالت ThreatFabric: "من المرجح أن تغلق عروض Dropper-as-a-Service الحالية التي توفر هذه الإمكانية كميزة مميزة حاليًا خدماتها أو تحاول إعادة التنظيم".

"وهذا يقلل أيضًا من حاجز الدخول أمام مجرمي الإنترنت الذين يتطلعون إلى توزيع البرامج الضارة المحمولة على الأجهزة الحديثة، مما يسهل على المزيد من الجهات الفاعلة دخول الميدان."

المصدر: The Hacker News