برمجيات أندرويد الخبيثة على الهواتف الجديدة: ما تكشفه تقارير اختراق سلاسل التوريد فعلياً

ماذا حدث

نشرت منافذ تكنولوجية دولية مؤخراً تقارير تشير إلى أن بعض هواتف أندرويد الذكية وصلت داخل عبوات البيع بالتجزئة محملة مسبقاً ببرمجيات خبيثة. وشملت التغطية تقارير إقليمية من Nextapple News وOverclockers.ru وMenow وPhoneWorld وHi-Tech Mail.ru، ركزت على ما أطلق عليه المحققون حملة Midnight Mimosa. وتمحور القلق الأساسي عبر هذه الروايات حول تسليم إلكترونيات استهلاكية مخترقة قبل أن يقوم المشتري بتشغيل الجهاز. وفقاً للتقارير، أخرج المستخدمون النهائيون أجهزتهم من العلب ليكتشفوا أنشطة مريبة تعمل في الخلفية، ومحفزات متواصلة لبرمجيات الإعلانات، وملفات تكوين مشبوهة كانت نشطة بالفعل على الجهاز. وفي حالات متعددة، لاحظ مراقبون تقنيون أن الشفرة غير المصرح بها كانت تعمل بامتيازات جهاز مرتفعة، مما أثار مخاوف فورية بشأن سلامة شبكات توزيع الإلكترونيات الاستهلاكية. بدلاً من الإشارة إلى موقع ويب مخترق تقليدي أو رابط خبيث جرى تنزيله بواسطة مستخدم غير حذر، ركزت الروايات مباشرة على سلسلة توريد العتاد. وعبرت القضية عدة حدود لغوية في غضون أيام، مما أثار قلقاً بين موزعي الأجهزة المحمولة، ومديري أساطيل الأجهزة في الشركات، والمستهلكين الأفراد بشأن مدى موثوقية العتاد المغلق بإحكام في المصنع. نظراً لأن الهواتف المحمولة تعمل كمستودع مركزي للاتصالات، والمصادقة المالية، وسجلات الهوية الشخصية، فإن التقارير المتعلقة بالتلاعب على مستوى العتاد تؤدي حتماً إلى تحقيقات عاجلة. وتمحورت الرواية الأساسية حول طرازين محددين من أجهزة أندرويد حُدد أنهما يحملان شفرة غير مصرح بها داخل برمجياتهما الثابتة المشحونة من المصنع.

ما نعرفه

تنقسم البنية التشغيلية لنظام تشغيل أندرويد الحديث إلى أقسام منطقية صارمة صُممت للحفاظ على الأمان، وصيانة سلامة المنصة، وفصل بيانات المستخدم عن أصول النواة التشغيلية. في ظل التكوينات القياسية، يستقر نظام التشغيل الأساسي داخل أقسام للقراءة فقط مخصصة للنظام، والمورد، والمنتج، بينما تظل الملفات المثبتة من قبل المستخدم، وذاكرة التخزين المؤقت للتطبيقات، والتكوينات الشخصية معزولة داخل قسم userdata القابل للكتابة. عند تصنيع الجهاز، تمر حزمة البرمجيات عبر عدة طبقات مؤسسية متباينة قبل الوصول إلى المستهلك. يوفر موردو الرقاقات حزم الدعم الأساسية للوحة، والتي يدمجها مصنعو التصميم الأصلي في تصاميم اللوحات المخصصة جنباً إلى جنب مع برامج تشغيل الأجهزة الطرفية التابعة لجهات خارجية. ومن هناك، غالباً ما يقوم مصنعو المعدات الأصلية والموزعون الإقليميون بدمج تطبيقات خدمية محلية، وواجهات مستخدم خاصة، وتحميلات مسبقة لشركاء تجاريين قبل إنشاء صور الفلاش الموقعة نهائياً. تكشف التقارير الفنية المتعلقة بحملة Midnight Mimosa عن آلية تشغيلية معقدة تقسم العملية الخبيثة إلى مرحلتين متمايزتين. فبدلاً من وضع حزمة احتيال إعلاني كاملة وهجومية مباشرة داخل صور الإقلاع، يعتمد التوزيع على مكونات تحميل ضئيلة وشديدة التخفي تستقر في التكوينات المبكرة للنظام. وقد صُممت هذه المحملات المثبتة مسبقاً لتنفذ مهامها بتكتم بمجرد الوصول الأولي إلى الشبكة. بمجرد أن ينشئ المحمل اتصالاً بالشبكة مع بنيته التحتية المحددة للتحكم والأمر عن بُعد، يطلب التعليمات ويجلب لاحقاً حمولات ثانوية. وغالباً ما تحاكي هذه المكونات الثانوية أدوات مساعدة عادية، أو مهام نظام في الخلفية، أو تطبيقات استهلاكية قياسية، متخفية أحياناً في هيئة أدوات شرعية أو حاصلة على وحدات احتيال إعلاني مباشرة عبر قنوات مخترقة وقوائم Google Play. ويقلل هذا الفصل من الأثر الجنائي الأولي للصورة المثبتة في المصنع مع الحفاظ على القدرة على التنفيذ عن بُعد.

ما لا نعرفه

لا تزال هناك فجوات كبيرة قائمة بشأن النقطة التشغيلية الدقيقة التي دخلت عندها البرمجيات غير المصرح بها إلى سلسلة التصنيع والخدمات اللوجستية. وليس معروفاً حالياً ما إذا كانت مكونات المحمل قد أُدخلت أثناء إدارة الشفرة المصدرية في منشأة مصنّع التصميم الأصلي، أو دُمجت عبر حزمة أدوات تطوير برمجيات تابعة لجهة خارجية مخترقة، أو حُقنت أثناء تفليش التوزيع الفعلي من قِبل وسطاء إقليميين. تتضمن سلسلة توريد الإلكترونيات الاستهلاكية العالمية عمليات تسليم متعددة حيث يتم تفليش صور أنظمة التشغيل المخصصة محلياً على العتاد المجرد. وغالباً ما تتعامل مراكز الاختبار الوسيطة، والمراكز اللوجستية الإقليمية، ومقدمو خدمات التعبئة والتغليف بالجملة مع أدوات التفليش لتعديل حزم اللغات، وتخصيص ملفات تعريف مشغلي شبكات الهاتف المحمول الإقليمية، وتثبيت ملفات التعريف التنظيمية الإلزامية. ودون سجلات تدقيق دقيقة من كل منشأة وسيطة، يظل تحديد مصدر التعديل غير محسوم. علاوة على ذلك، لا يزال الحجم الإجمالي لوحدات التجزئة المتأثرة غير محدد. ولم تنشر الحسابات العامة سجلات كاملة لدفعات الإنتاج، أو بيانات الشحن الجغرافي، أو سلاسل الأرقام التسلسلية التي من شأنها توضيح ما إذا كانت المشكلة مقتصرة على دفعة إنتاج واحدة معيبة أو تمثل مشكلة توزيع هيكلية تمتد عبر أجيال متعددة من العتاد. كما أنه ليس معروفاً ما إذا كانت خوادم التحكم والأمر عن بُعد التي توجه تنزيلات الحمولات الثانوية لا تزال تعمل، أو ما إذا كانت تسجيلات نطاقاتها وخدمات الاستضافة الخاصة بها قد صودرت من قِبل مزودي الشبكات. ودون تحليل نشط لحركة البيانات عبر الأجهزة قيد التشغيل، لا يمكن التحقق بشكل مستقل من النطاق الكامل للقياس عن بُعد الذي جُمع من أجهزة المستخدمين النهائيين.

الادعاءات

تداولت وسائل إعلام عامة ومعلقون تقنيون عدة تأكيدات قوية بشأن استمرارية الإصابة وطبيعتها. وقدمت تقارير عبر Nextapple News وOverclockers.ru وMenow وPhoneWorld وHi-Tech Mail.ru رواية مفادها أن الأجهزة كانت مسلحة بالبرمجيات الخبيثة بمجرد إخراجها من العلبة، دون الحاجة إلى أي تفاعل من المستخدم لتأسيس وجود خفي غير مصرح به في الخلفية. وأكد ادعاء بارز ضمن هذه التقارير أن البرمجيات الخبيثة توجد بشكل دائم ومضمن داخل قسم النظام المخصص للقراءة فقط، مما يمكنها من البقاء بعد عمليات إعادة الضبط الكامل إلى إعدادات المصنع إلى أجل غير مسمى. ووفقاً لهذا التفسير، فإن إجراءات المعالجة العادية المتاحة لمستهلك التجزئة — مثل إجراء استعادة للنظام من إعدادات الجهاز — غير فعالة تماماً في طرد التهديد. كما زعم معلقون أن إطار العمل الخبيث قد صُمم خصيصاً لتجاوز Google Play Protect وأدوات الكشف التقليدية على الأجهزة الطرفية عبر إخفاء وحداته التشغيلية داخل حزم خدمات شرعية تابعة للمورد. ووفق هذا القول، فإن علاقة الثقة الأساسية للهاتف تتضرر بشكل لا رجعة فيه منذ مرحلة التصنيع، مما يجعل الجهاز الفعلي غير آمن للحوسبة القائمة على المعاملات أو تخزين بيانات الاعتماد. أخيراً، أشارت تقارير متنوعة إلى أن الهدف الأساسي لحملة Midnight Mimosa كان مراقبة واسعة للمستهلكين إلى جانب توليد عائدات إعلانية في الخلفية. ووصفت هذه الروايات الحملة بأنها تكتل عدواني للتربح يستغل التضمين على مستوى المصنع لضمان معدلات بقاء عالية عبر دورات حياة استخدام المستهلكين.

ما تم التحقق منه

تشير مراجعة دقيقة للآليات التشغيلية إلى ضرورة تقييم التفسيرات المتنافسة بشكل منفصل بناءً على الجدوى التقنية ومحددات بنية أندرويد. التفسير القائل بأن مكونات البرمجيات الخبيثة دُمجت في أقسام النظام أثناء بناء البرمجيات الثابتة أو توزيعها في سلسلة توريد العتاد قبل قيام المستخدم النهائي بإخراج الجهاز من علبته هو تفسير معقول تقنياً ويُقيَّم بأنه POSSIBLE. يحدث هذا الدمج بشكل روتيني في حوادث سلاسل التوريد الموثقة حيث يتم تجميع مكتبات التربح التابعة لجهات خارجية مباشرة داخل تطبيقات إدارة الأجهزة الخاصة. وعندما يعتمد مورد على متعاقدين خارجيين لدمج برامج التشغيل أو حزم الأدوات المساعدة المحملة مسبقاً، يمكن للشفرات الخبيثة أو التجارية الشرسة أن تتسلل بسهولة متجاوزة أدوات بناء صور النظام الآلية. على العكس من ذلك، فإن الادعاء المنافس بأن حزمة البرمجيات الخبيثة النشطة بأكملها توجد حصرياً في قسم النظام المخصص للقراءة فقط وتبقى بشكل دائم بعد إعادة الضبط إلى إعدادات المصنع دون الحاجة إلى تفاعل أولي من المستخدم أو تنزيل تطبيقات خارجية قد تم استبعاده وحُكم بأنه RULED_OUT. يوضح التفكيك الفني لبنية الحملة أن مكون البرمجيات الثابتة المثبت مسبقاً يعمل بدقة كمحمل خامل بدلاً من كونه محرك تطبيقات قائم بذاته ومستمر. في حين أن نواة المحمل نفسها قد تستقر بالفعل في قسم للقراءة فقط وبالتالي تعاود الظهور بعد مسح النظام، فإن مكوناتها التشغيلية النشطة — محركات الاحتيال الإعلاني، ومعترضات بيانات الاعتماد، والوحدات الموجهة للمستخدم — تستقر في مساحة userdata القابلة للكتابة. تؤدي إعادة الضبط إلى إعدادات المصنع إلى مسح قسم userdata، مما يقطع حلقة الحمولة النشطة إلى أن يتمكن المحمل الخامل من إعادة الاتصال بالبنية التحتية للشبكة الخارجية، وإعادة تنزيل التكوين عن بُعد، وتنفيذ مسار التثبيت مرة أخرى.

تفسيرات متنافسة

• محتمل: دُمجت مكونات البرمجيات الخبيثة في أقسام النظام أثناء بناء البرمجيات الثابتة أو توزيعها في سلسلة توريد العتاد قبل قيام المستخدم النهائي بإخراج الجهاز من علبته.
• مستبعد: توجد البرمجيات الخبيثة في قسم النظام المخصص للقراءة فقط وتبقى بعد إعادة الضبط إلى إعدادات المصنع دون الحاجة إلى تفاعل أولي من المستخدم أو تنزيل تطبيقات.

ما قد يغير تقييمنا

يتطلب تعديل التقييم الحالي من غير مثبت إلى تم التحقق منه بالكامل الوصول إلى صور برمجيات ثابتة مشفرة وموثقة مستخرجة مباشرة من وحدات مختومة من المصنع ومتحقق منها. وسيتعين على مختبرات الأمان مقارنة التوقيعات الرقمية لذاكرة القراءة فقط المثبتة بسجلات البناء الرسمية للمورد للتحقق مما إذا كانت التعديلات قد نشأت من مفاتيح تطوير مصرح بها أو أُدخلت عبر تفليش وسيط غير موثق. إن التقاط الحزم الكاملة التي تسجل تسلسل الإقلاع الأولي للجهاز الجديد في ظروف غرف معزولة ونظيفة سيوفر دليلاً قابلاً للتحقق على تنشيط المحمل. ومراقبة استعلامات النطاق المحددة، والمصافحات التشفيرية، ومسارات تنزيل الملفات الثنائية التي بدأت قبل أي إدخال من المستخدم ستثبت بشكل قاطع الطبيعة التشغيلية المستقلة للبرمجيات المضمنة. علاوة على ذلك، سيستفيد التحقق المستقل من الكشف عن أسماء حزم التطبيقات المحددة، وقيم التجزئة الثنائية، والشفرة المصدرية المفككة للملفات الثنائية للمحمل المضمن. إن امتلاك بيانات حزم واضحة سيتيح لمحللي الأمان الدوليين فحص أذونات إطار عمل أندرويد الدقيقة الممنوحة للعمليات المشبوهة في وقت التجميع. أخيراً، فإن وجود مسار تدقيق موثق من مصنّع التصميم الأصلي أو منشأة التجميع يتتبع محطات التفليش المادية والخدمات اللوجستية لسلسلة التوريد من شأنه حسم مسألة نقطة الدخول. وتوثيق ما إذا كان عمال المصنع قد استخدموا نصوص تفليش غير مصرح بها عبر USB أو ما إذا كانت خوادم التجميع الآلي قد تعرضت للاختراق في المراحل المبكرة سيفسر بشكل حاسم كيفية وصول البرمجيات إلى عتاد المستهلكين.