ToxicPanda 2.0 يستغل VPN وADB لاختراق 349 تطبيقاً مالياً

مقدمة تحليلية

بتاريخ 23 أغسطس 2026، كشفت شركة الأمن السيبراني Zimperium عن تطور خطير لبرمجية ToxicPanda الخبيثة لنظام Android، حيث وصلت إلى نسختها 2.0. أصبحت البرمجية الآن تستهدف 349 تطبيقاً مالياً عبر 16 دولة، مع دعم 167 أمراً عن بُعد. الوظيفة الجديدة تسمح لـToxicPanda 2.0 بطلب صلاحيات خدمة VPN لإنشاء واجهة محلية، تتيح لها التحكم في حركة مرور الشبكة. هذه الآلية تمكن البرمجية الخبيثة من حجب الاتصال بخدمات Google Play وGoogle Play Services بشكل كامل.

علاوة على ذلك، أدرجت البرمجية وظائف لأتمتة Android Wireless Debugging Bridge (ADB)، مما يوفر وصولاً على مستوى الشل إلى الأجهزة المصابة. التوزيع الأولي يتم عبر Amazon AWS-hosted buckets، وفقاً لتقرير BleepingComputer، مما يشير إلى بنية تحتية جاهزة للاستغلال الواسع. البرمجية لا تستهدف فقط بيانات الاعتماد، بل تقوض الأساس الأمني لنظام Android نفسه.

التحليل التقني

ToxicPanda 2.0 لم تعد تعتمد على أساليب الاختراق التقليدية؛ بل تعمل على استغلال ميزات النظام الشرعية لمصلحتها. تطلب البرمجية صلاحيات خدمة VPN لإنشاء واجهة شبكة محلية. هذه الواجهة تمنحها القدرة على اعتراض ومعالجة جميع حركات مرور الشبكة. بعد الحصول على هذه الصلاحيات، تحظر ToxicPanda 2.0 الاتصالات مع Google Play قبل استخراج حمولتها وتثبيتها.

هذه الخطوة ضرورية لتجنب اكتشاف Google Play Protect والتحقق من التطبيقات، مما يعطل الفحوصات الأمنية وتحديثات النظام. بعد ذلك، تطلب البرمجية صلاحيات خدمة Accessibility Service لمزيد من التحكم.

استغلال ADB اللاسلكي

تتضمن النسخة الحالية من ToxicPanda وظيفة تستغل بشكل تلقائي Android Debug Bridge (ADB) للحصول على وصول بمستوى الشل. Wireless ADB، التي قُدمت في Android 11، توفر وصولاً مشابهاً عبر Wi-Fi دون الحاجة لاتصال USB فعلي. تستخدم البرمجية صلاحيات Accessibility Services لتفعيل Developer Options وتنشيط Wireless Debugging. بعد ذلك، تستخرج رمز الاقتران المكون من ستة أرقام ورقم المنفذ الخاص بـADB، ثم تتصل بخدمة ADB المحلية للجهاز. بمجرد حصولها على صلاحيات مستخدم الشل، تبدأ في تنفيذ أوامر ذات امتيازات عالية مباشرة عبر ADB daemon، متجاوزة مطالبات الموافقة القياسية لوقت تشغيل Android. هذا يتيح لها منح نفسها صلاحيات واسعة، وتحييد قيود نظام التشغيل الخلفية، وتمكين المكونات الحيوية بصمت، وفرض استمرارية الوجود.

تستهدف البرمجية الخبيثة:

• 349 تطبيقاً مصرفياً ومالياً وتطبيقات العملات المشفرة والمحافظ الإلكترونية.
• 16 دولة مختلفة.
• 140 تطبيقاً مالياً وتطبيق عملات مشفرة لوحدة سرقة أرقام التعريف الشخصية (PIN-harvesting module)، مع قائمة تحديث ديناميكية.

كما تستخدم البرمجية تراكبات تصيد احتيالي غير مرئية للضحية لالتقاط مدخلات اللمس على التطبيقات المستهدفة، وتزوير شاشة قفل Android لسرقة أرقام التعريف الشخصية وأنماط الفتح وكلمات المرور. تضمنت بعض العينات التي تم تحليلها شاشات تحديث نظام وهمية لإخفاء النشاط الخبيث الجاري. يدعم ToxicPanda 2.0 ما يصل إلى 167 أمراً عن بُعد، بما في ذلك أمر 'autoBoot' الذي يحدد الشركة المصنعة للجهاز المضيف ويطلق إعدادات التشغيل التلقائي أو إدارة الطاقة الخاصة بالشركة المصنعة للحفاظ على استمرارية الوجود. هذا يتجاوز حماية استهلاك البطارية التي تقتل العمليات الخلفية على أجهزة Xiaomi وOPPO وVivo وSamsung وHuawei.

السياق وتأثير السوق

توزيع ToxicPanda 2.0 عبر Amazon AWS-hosted buckets يؤكد اعتماد المهاجمين على بنى تحتية سحابية موثوقة نسبياً لإضفاء شرعية زائفة على عمليات التوزيع. هذا النهج يقلل من الشكوك الأولية مقارنة بالاستضافة على خوادم مشبوهة. يمثل استغلال Wireless ADB اتجاهاً متنامياً في برمجيات Android الخبيثة، وهو أمر لا يقتصر على ToxicPanda. فقد أفادت Group-IB مؤخراً بآلية مماثلة في أحدث إصدار من برمجية RedHook الخبيثة، مما يشير إلى أن هذه التقنية أصبحت معياراً جديداً للمهاجمين الذين يسعون للحصول على وصول بمستوى الشل. هذا التطور يغير المشهد الأمني، حيث لم يعد التركيز فقط على منع التثبيت، بل على تعطيل الآليات الداخلية التي يمكن للمالوير استغلالها بعد التثبيت الأولي.

قبل ظهور تقنيات مثل استغلال ADB اللاسلكي، كانت البرمجيات الخبيثة تعتمد بشكل أكبر على استغلال الثغرات الأمنية الجذرية (root exploits) أو خداع المستخدمين للحصول على صلاحيات واسعة. لكن مع ToxicPanda 2.0، يتم تحويل ميزات النظام المصممة للمطورين، مثل Wireless ADB التي أُضيفت في Android 11، إلى أدوات لاختراق المستخدمين العاديين، مما يرفع من مستوى التعقيد اللازم للدفاع. القدرة على حجب Google Play تؤثر مباشرة على قدرة Google على حماية المستخدمين، حيث تتعطل آليات مثل Play Protect. هذا النهج الشامل للسيطرة على الشبكة والجهاز يضع ToxicPanda 2.0 في مصاف البرمجيات الخبيثة الأكثر تطوراً التي تستهدف النظام البيئي لـAndroid حالياً. استهداف 349 تطبيقاً مالياً عبر 16 دولة يعكس نطاقاً عالمياً مدفوعاً بالربح، حيث يتم تقويض ثقة المستخدمين في الأمان الرقمي المصرفي.

رؤية Glitch4Techs

ToxicPanda 2.0 ليست مجرد برمجية خبيثة أخرى؛ إنها إعلان عملي عن تفاقم التهديد في بيئة Android. إنها تعكس تحولاً من مجرد سرقة البيانات إلى هندسة اجتماعية للأنظمة نفسها. إن القدرة على حجب Google Play بشكل منهجي باستخدام صلاحيات VPN، ومن ثم الاستفادة من Wireless ADB للحصول على وصول كامل على مستوى الشل، يمثل تجاوزاً صريحاً لخطوط الدفاع المتعددة التي افترض المستخدمون أنها موجودة. هذا ليس ابتكاراً جذرياً في المفهوم، بل هو تنفيذ فعال للغاية لآليات الالتفاف.

التقرير يؤكد أن 'autoBoot' يتجاوز حماية استهلاك البطارية على أجهزة Xiaomi وOPPO وVivo وSamsung وHuawei؛ هذا الالتفاف المحدد يؤكد التركيز الوحشي للمهاجمين على استمرارية الوجود، ويجعل من فكرة الأمن السلبي مجرد وهم تكنولوجي، فالمالوير لا يخترق النظام بقدر ما يروضه.