اختراق الهواتف عن طريق بوت التليجرام
·
كيف تحمي هاتف Android من التطبيقات الخبيثة التي تستغل Telegram Bots؟
مرحبًا أصدقائي. في هذا المقال سنتحدث عن أسلوب لاحظته أثناء تحليل بعض تطبيقات Android المشبوهة، وهو استخدام Telegram Bots كوسيلة لنقل البيانات أو استقبال التعليمات داخل بعض التطبيقات غير الموثوقة.
من المهم منذ البداية توضيح نقطة أساسية: Telegram وتطبيقاته والبوتات الخاصة به ليست برمجيات خبيثة. Telegram Bot API خدمة مشروعة يستخدمها المطورون في ملايين المشاريع والخدمات الطبيعية، لكن مثل أي خدمة تقنية يمكن أن يحاول بعض مطوري البرمجيات الخبيثة إساءة استخدامها.
الهدف من هذا المقال هو توضيح ما شاهدته أثناء تحليل هذا النوع من التطبيقات، وكيف يمكن للمستخدم اكتشاف العلامات الخطرة وحماية هاتفه، وليس شرح إنشاء برمجيات ضارة أو التحكم في أجهزة الآخرين.
ما هو Telegram Bot؟
البوت هو تطبيق برمجي يعمل من خلال منصة Telegram ويمكن ربطه بخدمات ومواقع وأنظمة مختلفة لتنفيذ وظائف آلية.
وفقًا لوثائق Telegram الرسمية، يستطيع المطور تسجيل البوت والحصول على Token للمصادقة والتعامل معه من خلال Telegram Bot API.
هذه التقنية لها عدد هائل من الاستخدامات المشروعة، مثل خدمة العملاء والإشعارات والأدوات التعليمية وإدارة المجتمعات وربط الأنظمة المختلفة.
إذًا وجود Telegram Bot داخل مشروع برمجي لا يعني أن المشروع خبيث.
كيف يمكن إساءة استخدام Telegram في تطبيق خبيث؟
المشكلة تبدأ عندما يقوم مطور تطبيق ضار بربط التطبيق بخدمة خارجية مثل Telegram لإرسال معلومات حصل عليها التطبيق أو لاستخدام الخدمة كجزء من البنية التي يعتمد عليها.
هذا ليس عيبًا في Telegram نفسه، وإنما إساءة استخدام لخدمة مشروعة بواسطة تطبيق خبيث.
قد يحاول التطبيق الضار مثلًا الحصول على بيانات حساسة بعد إقناع المستخدم بمنحه الصلاحيات اللازمة. وقد تختلف البيانات التي يستطيع الوصول إليها حسب إصدار Android والصلاحيات وإعدادات الجهاز وطريقة تصميم التطبيق.
ولهذا لا يعني تثبيت تطبيق APK أن المهاجم حصل تلقائيًا على الصور والرسائل والميكروفون والموقع وكل بيانات الهاتف.
Android يشغّل التطبيقات داخل بيئة محدودة الصلاحيات، ويحتاج التطبيق إلى الحصول على أذونات مناسبة للوصول إلى الكثير من البيانات والوظائف الحساسة.
ما الذي لاحظته أثناء تحليل بعض العينات؟
أثناء تحليلي لبعض تطبيقات Android المشبوهة، وجدت في بعض العينات مؤشرات داخل ملفات التطبيق تشير إلى استخدام Telegram كجزء من آلية الاتصال.
هذه الملاحظة مهمة من الناحية الدفاعية لأنها تساعد الباحث الأمني على فهم البنية التي يعتمد عليها التطبيق، لكنها لا تعني أن جميع التطبيقات الخبيثة تستخدم الأسلوب نفسه.
كذلك لا توجد قاعدة تقول إن بيانات الاتصال ستكون دائمًا في ملف أو مجلد معين؛ فقد تختلف بنية التطبيق تمامًا من عينة إلى أخرى، وقد تكون بعض القيم مخزنة بطريقة مختلفة أو يتم الحصول عليها أثناء التشغيل.
مثال من التحليل الثابت للتطبيق
في إحدى العينات التي قمت بفحصها، ظهرت ملفات داخل بنية التطبيق ساعدتني على ملاحظة مؤشرات مرتبطة بطريقة الاتصال المستخدمة.
الصور التالية مأخوذة من سياق التحليل الأمني للعينة، والغرض منها توضيح أهمية فحص مكونات التطبيقات غير الموثوقة، وليس تقديم قاعدة عامة تنطبق على كل تطبيق Android.
ملاحظة مهمة: إذا ظهر أثناء التحليل Token أو Chat ID أو أي بيانات اعتماد حقيقية، فلا ينبغي نشرها علنًا. Telegram نفسه يوضح أن Token البوت يجب الاحتفاظ به بشكل آمن لأن من يحصل عليه قد يستطيع التحكم في البوت.
لماذا لا يكفي البحث عن كلمة Telegram داخل التطبيق؟
العثور على عنوان مرتبط بـ Telegram أو Bot API داخل تطبيق لا يثبت بمفرده أن التطبيق Malware.
هناك آلاف التطبيقات المشروعة التي تستخدم Telegram للإشعارات أو خدمة العملاء أو وظائف أخرى.
لذلك يجب جمع أكثر من مؤشر قبل الحكم على التطبيق، مثل:
• مصدر التطبيق.
• الصلاحيات التي يطلبها.
• الوظيفة التي يدّعي تقديمها.
• سلوكه أثناء التشغيل.
• الاتصالات الشبكية التي ينشئها.
• الملفات والمكونات الموجودة داخله.
• نتائج أدوات الحماية والتحليل.
هذه الطريقة أكثر دقة من الاعتماد على مؤشر واحد فقط.
هل استخدام Telegram يجعل التطبيق غير قابل للاكتشاف؟
لا. استخدام خدمة مشروعة مثل Telegram لا يجعل البرمجية الخبيثة غير مرئية أو غير قابلة للاكتشاف.
لكن إساءة استخدام خدمات شرعية قد تجعل الاعتماد على حظر اسم نطاق واحد فقط طريقة غير كافية للحماية، لأن الاتصال بخدمة معروفة ليس دليلًا منفردًا على وجود نشاط ضار.
لهذا تعتمد وسائل الحماية الحديثة على أكثر من إشارة، مثل سلوك التطبيق وسمعته ومصدره والصلاحيات والملفات والأنشطة الأخرى، وليس فقط على اسم الخادم الذي يتصل به.
أهم الصلاحيات التي يجب مراجعتها
Android يعتمد على نظام صلاحيات لحماية الوصول إلى البيانات والوظائف الحساسة. لذلك يجب أن تسأل دائمًا: هل يحتاج هذا التطبيق فعلًا إلى الصلاحية التي يطلبها؟
الرسائل SMS
إذا كان التطبيق لا يقدم وظيفة مرتبطة بالرسائل، فمن الطبيعي أن تتساءل عن سبب طلبه الوصول إليها.
جهات الاتصال
لا تمنح تطبيقًا مجهول المصدر إمكانية الوصول إلى جهات اتصالك دون حاجة واضحة.
الكاميرا والميكروفون
Android يطلب أذونات للوصول إلى هذه الموارد الحساسة. راجع التطبيقات التي تمتلك هذه الصلاحيات وأزلها من التطبيقات التي لا تحتاج إليها.
الإشعارات
الوصول إلى الإشعارات صلاحية حساسة لأن الإشعارات قد تحتوي على معلومات شخصية. لا تمنحها لتطبيق مجهول دون سبب واضح.
Accessibility
خدمات إمكانية الوصول لها استخدامات شرعية ومهمة لمساعدة المستخدمين، لكنها أيضًا توفر إمكانات قوية للتطبيق الذي يحصل عليها.
إذا طلب تطبيق مجهول تفعيل Accessibility دون وجود وظيفة منطقية تحتاج إليها، توقف وتحقق من التطبيق قبل الموافقة.
الظهور فوق التطبيقات الأخرى
هذه الميزة لها استخدامات طبيعية، لكن يجب الحذر عندما يطلبها تطبيق مجهول أو تطبيق لا تحتاج وظيفته إلى النوافذ العائمة.
علامات قد تستحق فحص الهاتف
لا توجد علامة واحدة تثبت أن هاتفك مخترق، لكن اجتماع عدة مؤشرات قد يستحق التحقيق.
من هذه المؤشرات:
• ظهور تطبيق لا تتذكر تثبيته.
• تطبيق مجهول يمتلك صلاحيات حساسة.
• ظهور إعلانات أو نوافذ منبثقة بصورة غير معتادة.
• تغييرات في إعدادات الهاتف لم تقم بها.
• استهلاك غير معتاد للبطارية أو البيانات من تطبيق مجهول.
• بطء شديد أو أعطال بدأت بعد تثبيت تطبيق معين.
• تنبيهات أمنية أو محاولات تسجيل دخول لم تقم بها.
Google نفسها تذكر أن البطء الشديد والنوافذ المنبثقة والمشكلات غير الطبيعية في الجهاز قد تكون من العلامات التي تستحق البحث عن برامج ضارة، لكن هذه الأعراض يمكن أن تكون لها أسباب أخرى أيضًا.
كيف تحمي هاتفك من التطبيقات الخبيثة؟
1- ابدأ من Google Play أو المصدر الرسمي
Google توصي بالحصول على التطبيقات من Google Play، مع إمكانية تثبيت تطبيقات من مصادر أخرى عند الحاجة. لكن التطبيقات من المصادر غير المعروفة تحمل مخاطر أعلى، لذلك يجب التحقق من هوية المطور والمصدر بعناية.
2- لا تعطّل Google Play Protect
Google Play Protect إحدى طبقات الحماية المدمجة في Android، ويقوم بفحص التطبيقات بحثًا عن السلوك الضار.
كما يستطيع فحص التطبيقات المثبتة من خارج Google Play، وقد يحذر من تطبيق ضار أو يعطله أو يزيله في بعض الحالات.
إذا طلب منك تطبيق مجهول تعطيل Play Protect حتى تتمكن من تثبيته، فتعامل مع ذلك كعلامة تحذيرية قوية.
3- لا تعتمد على برنامج حماية واحد فقط
لا توجد حاجة لافتراض أن برنامج الحماية يجب أن يكون مدفوعًا حتى يكون مفيدًا. الأهم هو استخدام طبقات حماية متعددة.
حافظ على Play Protect وتحديثات Android، واحصل على التطبيقات من مصادر موثوقة، وراجع الصلاحيات، ويمكنك استخدام حل أمني إضافي موثوق إذا احتجت إليه.
4- ثبّت تحديثات Android
لا تؤجل تحديثات النظام وتحديثات الأمان وGoogle Play System Updates عندما تكون متاحة لجهازك.
5- احذر رسائل الاستعجال والربح
لا تثبت تطبيقًا لمجرد وصول رسالة تقول إنك ربحت جائزة أو أن حسابك سيتم إيقافه أو أنك تحتاج إلى تطبيق معين بصورة عاجلة.
ابدأ دائمًا من الموقع أو التطبيق الرسمي للخدمة بدل الرابط الموجود في الرسالة.
ماذا تفعل إذا شككت في تطبيق مثبت على هاتفك؟
إذا كنت تشك في وجود تطبيق ضار، ابدأ بمراجعة التطبيقات التي تم تثبيتها مؤخرًا والصلاحيات التي حصلت عليها.
Google توصي كذلك بتفعيل Play Protect، وتثبيت تحديثات Android والأمان، وإزالة التطبيقات التي لا تثق بها.
إذا كنت تعتقد أن بيانات حساباتك تعرضت للخطر، استخدم جهازًا آخر موثوقًا لتغيير كلمات المرور ومراجعة إعدادات الأمان.
وفي حالة الاشتباه في تسريب بيانات مالية، تواصل مع البنك أو مزود الخدمة المالية مباشرة عبر قنواته الرسمية.
هل Safe Mode مفيد؟
يمكن أن يكون الوضع الآمن Safe Mode مفيدًا في تشخيص المشاكل التي تسببها التطبيقات التي تم تنزيلها.
توضح Google أنه إذا اختفت مشكلة مثل البطء أو التوقف أو إعادة التشغيل عند استخدام Safe Mode، فقد يكون أحد التطبيقات التي تم تنزيلها هو السبب.
لكن لا يجب اعتبار Safe Mode علاجًا مضمونًا لكل أنواع Malware، كما أن طريقة تشغيله تختلف من هاتف إلى آخر.
Google توصي بالرجوع إلى تعليمات الشركة المصنعة لمعرفة الطريقة الصحيحة لتشغيل Safe Mode على جهازك.
لماذا تعتبر الصلاحيات أهم من اسم التطبيق؟
قد يستطيع أي مطور اختيار اسم أو أيقونة تبدو مألوفة، ولذلك لا يجب الحكم على سلامة التطبيق من شكله فقط.
راجع الوظيفة التي يقدمها التطبيق وقارنها بالصلاحيات المطلوبة.
على سبيل المثال، إذا كانت لعبة بسيطة تطلب الوصول إلى الرسائل وجهات الاتصال والميكروفون والإشعارات دون وجود ميزة واضحة تحتاج إلى هذه الصلاحيات، فهذه حالة تحتاج إلى تدقيق قبل الموافقة.
ما الذي يجعل التحليل الأمني أكثر دقة؟
من خلال تجربتي، الخطأ الذي يقع فيه البعض هو محاولة الحكم على التطبيق من علامة واحدة.
التحليل الأفضل يجمع عدة عناصر: الصلاحيات، مصدر التطبيق، الملفات الداخلية، سلوك التطبيق، الاتصالات الشبكية، نتائج أدوات الفحص، والوظيفة التي يدّعي التطبيق تقديمها.
وجود Telegram داخل تطبيق لا يجعله خبيثًا، وارتفاع استهلاك البطارية لا يعني وحده وجود RAT، ووجود صلاحية حساسة لا يثبت وحده أن البيانات تمت سرقتها.
لكن اجتماع عدة مؤشرات غير طبيعية يمكن أن يعطي الباحث سببًا قويًا لإجراء تحليل أعمق.
شرح الحماية بالفيديو
في الفيديو التالي أستعرض الموضوع بصورة عملية وأوضح مجموعة من خطوات الحماية التي يمكن استخدامها لتقليل مخاطر التطبيقات المشبوهة:
مشروع التحليل الأمني الدفاعي
وضعت الملفات والمعلومات المرتبطة بالمشروع الدفاعي في مستودع GitHub التالي، بهدف التوعية ودراسة المؤشرات وطرق الحماية:
يجب أن يظل المشروع مخصصًا للتحليل والحماية، وألا يحتوي على تطبيق خبيث تنفيذي أو بيانات اعتماد حقيقية أو Token فعال يمكن إساءة استخدامه.
الخلاصة
Telegram Bots تقنية مشروعة ومفيدة، ولا يعتبر وجود Telegram داخل تطبيق دليلًا على أن التطبيق خبيث.
المشكلة هي أن بعض التطبيقات الضارة قد تحاول إساءة استخدام خدمات شرعية كجزء من بنيتها، ولهذا يجب تقييم التطبيق نفسه وسلوكه وصلاحياته ومصدره بدل اتهام الخدمة التي يستخدمها.
أفضل حماية تبدأ قبل الإصابة: استخدم مصادر موثوقة، لا تعطّل Play Protect، حدّث هاتفك، اقرأ الصلاحيات، ولا تثق في تطبيق لمجرد أن اسمه أو شكله يبدو مألوفًا.
وإذا كنت تشك في تطبيق معين، لا تعتمد على مؤشر واحد فقط. اجمع الأدلة، وافحص الصلاحيات والسلوك والمصدر، وأزل التطبيقات التي لا تثق بها.
Comments
Post a Comment