برمجية RatHat الخبيثة على أندرويد: كيف يغير الذكاء الاصطناعي التهديدات المحمولة وفق التقارير

ماذا حدث

فصلت تقارير حديثة من وسائل إعلام دولية، بما في ذلك France Mobiles وCommercial Times، ظهور تهديد محمول جديد تم تحديده باسم RatHat. ويُوصف هذا البرنامج بأنه شكل متقدم من برمجيات أندرويد الخبيثة المصممة خصيصًا لاختراق أجهزة المستخدمين، واستخراج بيانات الاعتماد الحساسة، وفرض تحكم طويل الأمد على نظام التشغيل. والسمة المميزة التي أبرزتها هذه التقارير الأولية هي دمج الذكاء الاصطناعي التوليدي، والذي يُزعم أنه يسمح للبرمجية الخبيثة بالتكيف ديناميكيًا مع التغييرات في واجهات المستخدم. لقد أصبحت الأجهزة المحمولة منصات الحوسبة الأساسية لغالبية سكان العالم، حيث تتعامل مع كل شيء بدءًا من الاتصالات الشخصية وحتى المعاملات المالية الحساسة. ونتيجة لذلك، تطورت منظومة الأجهزة المحمولة إلى بيئة مربحة للغاية للجهات الخبيثة الفاعلة. وقد اتبع تطوير البرمجيات الخبيثة للأجهزة المحمولة تاريخيًا مسارًا يمكن التنبؤ به، منتقلًا من تطبيقات الاحتيال البسيطة عبر رسائل SMS إلى أحصنة طروادة المصرفية المعقدة القادرة على عرض شاشات تسجيل دخول مزيفة فوق التطبيقات المصرفية المشروعة. ويمثل ظهور سلالة برمجيات خبيثة مثل RatHat، كما وصفتها التقارير الأخيرة، تحولًا محتملًا في هذا المشهد. وغالبًا ما يعتمد جمع استخبارات التهديدات على مزيج من الفحص الآلي، وتقارير المستخدمين، وتحليل التطبيقات المشبوهة الموجودة في متاجر التطبيقات التابعة لجهات خارجية أو الموزعة عبر حملات التصيد الاحتيالي. وعند تحديد سلالة جديدة، تنشر وسائل الإعلام التقنية والأمن السيبراني الدولية النتائج الأولية بصورة متكررة، موضحة القدرات المزعومة للبرمجية والفئات المستهدفة. وفي حالة RatHat، يتمحور السرد حول قدرتها على تجاوز التدابير الأمنية التقليدية من خلال الاستفادة من تقنيات الذكاء الاصطناعي الحديثة، وهو تطور لفت الانتباه عبر مناطق ومنشورات تقنية مختلفة.

ما نعرفه

استنادًا إلى التقارير المتاحة، تستهدف RatHat نظام التشغيل أندرويد وتركز بشكل كبير على سرقة بيانات الاعتماد والتحكم في الجهاز. والآلية الأساسية التي يُقال إنها تستغلها لتحقيق هذه الأهداف هي إساءة استخدام خدمات إمكانية الوصول (Accessibility Services) في أندرويد. ولفهم تداعيات ذلك، من الضروري دراسة كيفية إدارة نظام التشغيل أندرويد لأذونات التطبيقات وأمانها. يستخدم أندرويد بنية معزولة (Sandbox)، مما يعني أن التطبيقات تعمل افتراضيًا في بيئات منعزلة ولا يمكنها التفاعل مع بيانات التطبيقات الأخرى أو الاطلاع عليها. ويعد هذا التصميم أساسيًا لأمان الأجهزة المحمولة، إذ يمنع، على سبيل المثال، تطبيق مصباح خبيث من قراءة البيانات داخل تطبيق مصرفي. ومع ذلك، تم تقديم خدمات إمكانية الوصول لمساعدة المستخدمين ذوي الإعاقة من خلال السماح لتطبيقات متخصصة بقراءة محتوى الشاشة، وتفسير عناصر الواجهة، وتنفيذ إيماءات أو نقرات مؤتمتة نيابة عن المستخدم. ونظرًا لأن هذه الخدمات تتطلب وصولًا عميقًا إلى النظام لتعمل عبر جميع التطبيقات، فإنها تتجاوز فعليًا العزل الأمني القياسي للتطبيقات. وإذا تم خداع المستخدم لمنح أذونات إمكانية الوصول لتطبيق خبيث، فإن هذا البرنامج يكتسب القدرة على مراقبة كل ما يُعرض على الشاشة، وتسجيل ضغطات المفاتيح، وقراءة رسائل SMS الواردة للمصادقة الثنائية (2FA)، والتفاعل مع التطبيقات الأخرى دون إدخال فعلي من المستخدم. وتشير التقارير إلى أن RatHat تعتمد على مسار الثغرة الأمنية الموثق جيدًا هذا. وبمجرد منح الإذن الأولي، يمكن للبرمجية الخبيثة نظريًا أن تعمل بشكل غير مرئي في الخلفية، منتظرة قيام المستخدم بفتح التطبيقات المستهدفة، مثل محافظ العملات المشفرة، أو عملاء البريد الإلكتروني، أو المنصات المصرفية، قبل بدء إجراءات جمع بيانات الاعتماد الخاصة بها.

ما لا نعرفه

على الرغم من الأوصاف التي قدمتها وسائل الإعلام الدولية، فإن التفاصيل التقنية المحددة والتأثير الفعلي الحقيقي لبرمجية RatHat لا تزال غير مدعومة بأدلة قاطعة بسبب عدم كفاية البيانات. يعتمد مجتمع الأمن السيبراني عادةً على تحليل مستقل ودقيق لتأكيد قدرات أي سلالة برمجيات خبيثة جديدة، ومثل هذا التوثيق الشامل غائب حاليًا بالنسبة لـ RatHat. ولا نعرف النطاق الدقيق للعدوى، بما في ذلك عدد الأجهزة التي تعرضت للاختراق أو المناطق الجغرافية المستهدفة في المقام الأول. علاوة على ذلك، لا يزال ناقل العدوى الأولي غير واضح. فعادةً ما يتم توزيع البرمجيات الخبيثة من خلال روابط خبيثة في رسائل SMS (التصيد عبر الرسائل النصية)، أو المواقع المخترقة، أو التطبيقات التي تتنكر كأدوات مساعدة مشروعة في متاجر التطبيقات التابعة لجهات خارجية. ولم يتم تحديد الأساليب المحددة المستخدمة لنشر RatHat على أجهزة المستخدمين بشكل قاطع. والأمر الأهم هو أن الطبيعة الدقيقة لتطبيق الذكاء الاصطناعي التوليدي غير معروفة؛ فمن غير الواضح ما إذا كانت نماذج الذكاء الاصطناعي تعمل محليًا على الجهاز المصاب، وهو ما يتطلب موارد حوسبة كبيرة وقد يستنزف البطارية، أو ما إذا كانت البرمجية الخبيثة تلتقط بيانات الشاشة وترسلها إلى خادم قيادة وسيطرة (C2) بعيد حيث تتم معالجة الذكاء الاصطناعي. وتعد بنية دمج الذكاء الاصطناعي هذه جزءًا مفقودًا وحاسمًا من المعلومات. بالإضافة إلى ذلك، لم يتم تحديد هوية الجهات الفاعلة المهددة وراء RatHat أو دوافعها أو البنية التحتية التي تستخدمها لإدارة البيانات المسروقة. ودون الوصول إلى حزم التطبيقات المجمعة (APKs) أو تقارير التحليل الجنائي المفصلة من مختبرات أبحاث الأمن السيبراني المعترف بها، لا يمكن التحقق من النطاق الكامل للبرمجية الخبيثة وآليات عملها بشكل مستقل.

الادعاءات

أبرز ادعاء يحيط بـ RatHat هو استخدامها للذكاء الاصطناعي التوليدي للتكيف مع تغييرات واجهة المستخدم (UI). غالبًا ما تعتمد البرمجيات الخبيثة التقليدية للأجهزة المحمولة على معلمات مبرمجة وثابتة لتنفيذ مهامها. على سبيل المثال، قد تتم برمجة حصان طروادة مصرفي للبحث عن حقل نصي معين مسمى 'Password' أو النقر فوق زر يقع عند إحداثيات بكسل محددة بدقة على الشاشة. وإذا قام التطبيق المصرفي المستهدف بتحديث تصميمه، أو تغيير أسماء عناصر واجهة المستخدم الداخلية، أو تعديل نظام الألوان، فإن البرمجية الخبيثة التقليدية غالبًا ما تتعطل وتفشل في التقاط البيانات المطلوبة. وتزعم التقارير أن RatHat تتغلب على هذا القيد باستخدام الذكاء الاصطناعي التوليدي لتحليل الشاشة بصريًا أو هيكليًا في الوقت الفعلي. ويعني هذا ضمنيًا أن البرمجية الخبيثة يمكنها فهم سياق الواجهة، وتحديد حقول تسجيل الدخول وأزرار الإرسال بغض النظر عن موقعها المحدد أو بنية الكود الأساسية، تمامًا كما يفعل المستخدم البشري. ومن شأن هذه القدرة على التكيف أن تجعل البرمجية الخبيثة شديدة المرونة في مواجهة تحديثات التطبيقات والتصحيحات الأمنية. علاوة على ذلك، تزعم التقارير أن RatHat تستخدم تقنيات متقدمة للحفاظ على الاستمرارية على الجهاز. وتشير الاستمرارية إلى قدرة البرمجية الخبيثة على البقاء نشطة والصمود أمام عمليات إعادة تشغيل الجهاز أو محاولات المستخدم لإلغاء تثبيتها. ويتحقق ذلك غالبًا عن طريق إخفاء أيقونة التطبيق من مشغل التطبيقات، أو طلب امتيازات مسؤول الجهاز (Device Administrator) لمنع إلغاء التثبيت، أو التلاعب بإعدادات تحسين البطارية لضمان عدم إنهاء نظام التشغيل لخدمات الخلفية الخبيثة أبدًا. ويتم تقديم الجمع بين التكيف المدفوع بالذكاء الاصطناعي وآليات الاستمرارية القوية باعتباره التهديد الأساسي لبرمجية RatHat.

ما تم التحقق منه

في هذه المرحلة، ما تم التحقق منه هو وجود التقارير الصادرة عن منافذ إعلامية مثل France Mobiles وCommercial Times، والتي تصف برمجية RatHat الخبيثة وقدراتها المزعومة. كما أنه من الحقائق المؤكدة أن التقنيات الأساسية الموصوفة في هذه التقارير — وتحديدًا إساءة استخدام خدمات إمكانية الوصول في أندرويد لسرقة بيانات الاعتماد وفرض الاستمرارية — ممكنة تقنيًا وقد استخدمتها عائلات برمجيات خبيثة أخرى عديدة في الماضي. ويتميز تاريخ أمان أندرويد بصراع مستمر ضد التطبيقات التي تتلاعب بميزات إمكانية الوصول. وقد استخدمت سلالات برمجيات خبيثة موثقة جيدًا، مثل Anubis وCerberus وFlubot، أساليب مماثلة بنجاح لعرض شاشات تسجيل دخول مزيفة واعتراض رسائل SMS وإجراء معاملات مؤتمتة. كما أن مفهوم استخدام تعلم الآلة أو الذكاء الاصطناعي لتعزيز أدوات الأمان الهجومية هو مجال بحث وتطوير معترف به ضمن المشهد الأوسع للأمن السيبراني. وقد توقع باحثو الأمن منذ فترة طويلة دمج الذكاء الاصطناعي في البرمجيات الخبيثة لأتمتة استطلاع الأهداف، وإنشاء كود متعدد الأشكال يتفادى الاكتشاف المستند إلى التواقيع، وتحسين معدلات نجاح حملات الهندسة الاجتماعية. وبالتالي، في حين أن التطبيق المحدد لهذه التقنيات داخل برمجية RatHat الخبيثة لا يزال غير مثبت بأدلة قاطعة، فإن المفاهيم التأسيسية وناقلات الهجوم التي يُقال إنها تستخدمها هي حقائق راسخة في مجال أمان الأجهزة المحمولة.

تفسيرات متنافسة

• محتمل: RatHat هي برمجية خبيثة متقدمة لنظام أندرويد تسيء استخدام ميزات إمكانية الوصول وتستعين بالذكاء الاصطناعي التوليدي للتكيف مع تغييرات الواجهة، مما يسمح لها بسرقة بيانات الاعتماد والحفاظ على استمراريتها.

ما قد يغير تقييمنا

لنقل تقييم RatHat من كونه غير مؤكد بأدلة قاطعة إلى مثبت، سيحتاج خبراء الأمن السيبراني إلى الوصول إلى أدلة تقنية ملموسة وتحليل جنائي رقمي مستقل. والمتطلب الأساسي هو الحصول على الملفات التنفيذية للبرمجية الخبيثة، والتي تكون عادةً في شكل حزم تطبيقات أندرويد (APKs). وبمجرد حصول الباحثين على هذه الملفات، يمكنهم إنشاء قيم تجزئة تشفيرية (مثل SHA-256) لتعريف البرمجية الخبيثة بشكل فريد وتتبع توزيعها عبر منصات مختلفة. وسيقوم محللو الأمن بعد ذلك بإجراء تحليل ثابت وديناميكي. يتضمن التحليل الثابت إجراء هندسة عكسية للكود المفكك لفحص بنيته، وتحديد الأذونات التي يطلبها، وتحديد موقع أي عناوين URL أو عناوين IP مضمنة مرتبطة ببنيته التحتية للقيادة والسيطرة. ويتضمن التحليل الديناميكي تشغيل البرمجية الخبيثة داخل بيئة آمنة ومعزولة (بيئة اختبار معزولة) لمراقبة سلوكها في الوقت الفعلي. وستكشف هذه العملية عن كيفية تفاعل البرمجية الخبيثة مع نظام التشغيل، والبيانات التي تحاول تسريبها، وكيفية فرض استمراريتها. والأمر الحاسم للتحقق من الادعاءات المتعلقة بالذكاء الاصطناعي التوليدي هو أن الباحثين سيحتاجون إلى عزل الوحدات البرمجية المحددة أو حركة مرور الشبكة المسؤولة عن تكييف واجهة المستخدم. وسيحتاجون إلى توثيق ما إذا كانت البرمجية الخبيثة تستخدم نماذج تعلم آلة مضمنة أو تتصل بواجهات برمجة تطبيقات (APIs) خارجية للذكاء الاصطناعي. ومن شأن تقرير تقني شامل تنشره شركة استخبارات تهديدات معترف بها، يوضح بالتفصيل سلسلة العدوى، والكود الذي تمت هندسته عكسيًا، وبروتوكولات الاتصال عبر الشبكة، أن يوفر البيانات اللازمة لفهم قدرات برمجية RatHat الخبيثة والتحقق منها تمامًا.