هواتف أندرويد رخيصة تشحن ببرمجيات خبيثة كوكيل مقيم

مقدمة تحليلية

كشفت Bitdefender في 13 أكتوبر 2026 عن عملية Midnight Mimosa، وهي برمجية خبيثة تُشحن مثبتة مسبقًا في هواتف أندرويد منخفضة التكلفة، تحولها لوكلاء مقيمين (residential proxies) ضمن شبكات بوتات معقدة. تستهدف الأنشطة أجهزة أندرويد مبنية على منصات MediaTek عبر علامات تجارية متعددة، مع رصد آلاف الأجهزة الفريدة في أكثر من 150 دولة على مدار عامين تقريبًا. تتصدر المكسيك قائمة الدول المتضررة، تليها فرنسا، إيطاليا، الولايات المتحدة، ألمانيا، البرازيل، إسبانيا، المملكة المتحدة، كندا، رومانيا، بولندا، وتايلاند. غالبية هذه الأجهزة، التي وُصفت بأنها منخفضة التكلفة أو بيضاء العلامة أو مقلدة، تتضمن نماذج تستعير أسماء هواتف معروفة مثل Samsung Galaxy وApple iPhone، مما يتيح للمشغلين تنفيذ الاحتيال الإعلاني وتثبيت التطبيقات وإلغاء تثبيتها عن بُعد بصلاحيات نظامية كاملة.

التحليل التقني

البرمجية الخبيثة، التي تُعرف باسم "com.android.system.lite"، تعمل بامتيازات على مستوى النظام (system-level privileges)، مما يمنحها قدرة غير مسبوقة على التحكم بالجهاز. تسمح هذه الامتيازات بتثبيت أو إلغاء تثبيت مجموعة متغيرة تضم ما لا يقل عن 32 تطبيقًا متنكرًا. بالإضافة إلى ذلك، تمنح البرمجية نفسها صلاحيات إضافية لخدمات إمكانية الوصول (accessibility services)، والإشعارات (notifications)، والرسائل النصية القصيرة (SMS)، كما يمكنها تحميل تعليمات برمجية عشوائية يتم توفيرها عن بُعد من قبل المشغلين. تتميز الآلية التقنية بما يلي:

• تستجلب البرمجية تهيئة عن بُعد من خادم خارجي.
• تقوم بتنزيل وتنفيذ حمولات إضافية (additional payloads) مصممة خصيصًا للاحتيال الإعلاني (ad fraud) والتثبيت الصامت أو إزالة تطبيقات الشركاء.
• تدمج هذه التطبيقات ميزات proxyware، والاحتيال الإعلاني، وإمكانية تنفيذ التعليمات البرمجية.
• يمكن للبرمجية منح الإذن لأي حزمة تطبيق أندرويد (Android app package) دون تدخل المستخدم.

الاحتيال الإعلاني، الذي يعد أحد الأهداف الرئيسية، لا يتم مباشرة بواسطة البرمجية الأساسية. بدلاً من ذلك، تعتمد عملية تحقيق الدخل على تطبيقات dropper متنكرة كأدوات مساعدة تبدو غير ضارة، مثل تطبيقات الطقس أو ماسحات رمز QR. تقوم هذه التطبيقات بتحميل إعلانات حقيقية عبر حزمة تطوير برمجيات إعلانية مشروعة (legitimate advertising SDK). الهدف النهائي هو عرض نافذة غير مرئية (invisible window) فوق التطبيقات النشطة لتسجيل مشاهدات الإعلانات ونقراتها الاحتيالية.

لتجاوز آليات الأمان، تقوم البرمجية الخبيثة بتعطيل تطبيق Google Play Store مؤقتًا قبل تثبيت حمولة التطبيق لتجنب كشف Play Protect، ثم تعيد تمكين المتجر بعد اكتمال العملية. تم تحديد 13 تطبيقًا على Google Play تتواصل مع نفس الخوادم التي تتحكم في البرمجية الخبيثة، على الرغم من أن هذه التطبيقات لم تعد متاحة للتحميل حاليًا.

السياق وتأثير السوق

تشير الطبيعة المثبتة مسبقًا لبرمجية Midnight Mimosa إلى وجود اختراق خطير في سلسلة توريد الأجهزة. كشفت Bitdefender عن تداخلات في البنية التحتية لهذه العملية مع Android.Phantom، وهي برمجية خبيثة وثقتها Doctor Web في يناير 2026، كانت تُضمّن في الألعاب المعدلة والتطبيقات الشائعة لتنفيذ الاحتيال بالنقر. هذا ليس حادثًا معزولًا؛ ففي أواخر العام الماضي، كشفت Kaspersky عن برمجية Keenadu، التي كانت مثبتة مسبقًا على نماذج معينة من الأجهزة اللوحية التي تعمل بنظام أندرويد، وكانت تستهدف بشكل أساسي الاحتيال الإعلاني، وهو ما أكدته أيضًا Sophos. هذه الحوادث المتكررة تسلط الضوء على ثغرة هيكلية في سوق الأجهزة منخفضة التكلفة، حيث يتم التلاعب بالبرامج الثابتة قبل وصول الأجهزة إلى المستخدمين النهائيين.

تتجاوز التداعيات الأمنية الدفاعات التقليدية المعتمدة على المستخدم، مثل مطالبات التثبيت أو مراجعات المتجر أو حماية Play Protect أو حتى القدرة على إلغاء التثبيت. بما أن المكون الأساسي للبرمجية الخبيثة يُشحن في قسم النظام (system partition)، يصبح إزالته بالطرق العادية مستحيلة بالنسبة للمستخدم العادي. تتطلب عملية المعالجة تنظيفًا على مستوى البرامج الثابتة (firmware-level cleanup) أو تعطيل المكون عبر ADB، وهما إجراءات غير واقعية لمعظم المستهلكين الذين يمتلكون هذه الهواتف. هذا يضع عبء الإصلاح الدائم على عاتق البائعين والأسواق التي تشحن وتبيع البرامج الثابتة المتأثرة. تم اكتشاف البرمجية الخبيثة على أجهزة ببرامج ثابتة موقعة باستخدام شهادات تُنسب إلى Shenzhen Zediel Co., Ltd، وهي شركة صينية مصنعة لأجهزة أندرويد، مما يثير تساؤلات حول مدى تورطها أو علمها بالانتشار.