كشف باحثون أمنيون عن حملة خبيثة تستهدف مستخدمي أندرويد من خلال إعلانات مدفوعة تظهر على منصات Facebook وInstagram وTikTok، وتروج لخدمة بث تلفزيوني مجانية مزيفة. الخطر الحقيقي لا يكمن في الإعلان نفسه، بل في التطبيق الذي يُطلب من المستخدم تثبيته خارج متجر Google Play، حيث يحتوي على برمجية خبيثة جديدة تحمل اسم StreamRat وقادرة على منح المهاجمين سيطرة واسعة على الهاتف المصاب.
وبحسب تقرير شركة ThreatFabric المتخصصة في أبحاث التهديدات المصرفية على الهواتف، استهدفت الحملة بشكل أساسي مستخدمين ناطقين بالإسبانية، مع تركيز واضح على إسبانيا. إحدى حملات Meta التي رصدها الباحثون استمرت من 11 يونيو حتى 3 يوليو 2026، ووصلت الإعلانات خلالها إلى نحو 570 ألف مستخدم.
وهنا توجد نقطة مهمة: رقم 570 ألفًا يمثل عدد المستخدمين الذين وصلت إليهم الإعلانات، وليس عدد مرات تنزيل التطبيق أو عدد الهواتف التي أصيبت فعلًا. البيانات المنشورة لا تسمح بالقول إن مئات الآلاف تعرضوا للاختراق، لكنها تكشف في الوقت نفسه عن قدرة الإعلانات المدفوعة على إيصال حملة ضارة إلى جمهور واسع بسرعة كبيرة.
كيف تبدأ هجمة StreamRat؟
الحملة استخدمت إعلانات تبدو في ظاهرها طبيعية وتعد المستخدم بخدمة مجانية لمشاهدة التلفزيون والفيديو. عند الضغط على الإعلان ينتقل المستخدم إلى موقع مصمم ليبدو كمنصة بث حقيقية، لكن الموقع يفحص نوع الجهاز الذي يستخدمه الزائر قبل عرض الخطوة التالية.
إذا كان الزائر يستخدم هاتف أندرويد، يتم توجيهه نحو تنزيل ملف APK مباشرة من خارج متجر Google Play. أما المستخدم الذي يدخل من جهاز غير مستهدف، فقد لا يحصل على خيار التنزيل نفسه. بهذه الطريقة يحاول المهاجمون التركيز على الأجهزة التي تستطيع البرمجية إصابتها بالفعل.
والأكثر لفتًا للانتباه أن صفحة التنزيل لم تكن مجرد رابط لتحميل التطبيق، بل كانت تتعرف أيضًا على ما إذا كان المستخدم وصل إليها من Facebook أو Instagram أو TikTok أو من متصفح عادي، ثم تعرض تعليمات مناسبة لكل حالة.
هذه التعليمات تشرح للمستخدم كيفية السماح للمتصفح بتثبيت التطبيقات من مصادر غير معروفة. بمعنى آخر، يحاول الموقع إقناع الضحية بنفسه بتجاوز واحدة من أهم وسائل الحماية الموجودة في أندرويد.
ماذا تستطيع StreamRat أن تفعل بعد التثبيت؟
بعد تثبيت التطبيق تبدأ StreamRat في طلب صلاحيات شديدة الحساسية، من بينها خدمات إمكانية الوصول Accessibility وقدرات مرتبطة بمشاركة الشاشة. ووفق تحليل ThreatFabric، تجمع البرمجية بين خصائص حصان طروادة مصرفي وأداة تحكم عن بعد في الهاتف.
هذه الصلاحيات قد تسمح للمهاجمين بمراقبة ما يظهر على شاشة الجهاز، وقراءة عناصر الواجهة، وتسجيل ما يكتبه المستخدم، بالإضافة إلى عرض نوافذ مزيفة فوق تطبيقات حقيقية بغرض سرقة أسماء المستخدمين وكلمات المرور.
كما تحتوي StreamRat على وسائل للتحكم في الجهاز عن بعد بطريقة قريبة من تقنيات VNC، ما يسمح للمهاجم بتنفيذ إجراءات على الهاتف المصاب. الباحثون رصدوا أيضًا قدرة البرمجية على تغطية الشاشة بشاشة سوداء أو عرض واجهة مزيفة تشبه تحديث أندرويد، بينما يتم تنفيذ عمليات أخرى في الخلفية بعيدًا عن أعين المستخدم.
هذه الإمكانيات تجعل الإصابة أكثر خطورة عندما يحتوي الهاتف على تطبيقات بنكية أو محافظ إلكترونية أو حسابات حساسة. فالمهاجم قد يحاول سرقة بيانات تسجيل الدخول أو اعتراض المعلومات التي تظهر على الشاشة أو استخدام التطبيقات مباشرة إذا حصل على الصلاحيات اللازمة.
لكن من المهم أيضًا عدم المبالغة في توصيف الخطر: تثبيت StreamRat لا يعني بالضرورة أن الحساب البنكي تعرض للسرقة أو أن المهاجم نجح بالفعل في السيطرة على كل جهاز مصاب. النتيجة تعتمد على الصلاحيات التي منحها المستخدم للتطبيق وطبيعة استخدام الهاتف بعد الإصابة.
لماذا تبدو هذه الحملة أكثر إقناعًا؟
الفرق الأساسي بين هذه الحملة وكثير من الروابط الاحتيالية التقليدية هو أنها اعتمدت على إعلانات مدفوعة تظهر داخل منصات يستخدمها الملايين بصورة طبيعية كل يوم. المستخدم قد يتوقع أن الإعلان الذي يظهر وسط منشورات Facebook أو Instagram أو TikTok خضع لفحص مسبق، لكن ظهور إعلان داخل منصة معروفة لا يعني أن التطبيق الذي يروج له آمن.
وتزداد علامات الخطر عندما يطلب الإعلان من المستخدم مغادرة المتجر الرسمي وتنزيل ملف APK مباشرة، ثم يرشده إلى كيفية السماح بتثبيت تطبيقات من مصادر غير معروفة.
وسبق أن تناولنا على سوالف سوفت خطورة هذا النوع من البرمجيات في خبر برمجية خبيثة جديدة تستهدف أندرويد وتفرّغ حسابك البنكي، لكن StreamRat تختلف في اعتمادها بصورة واضحة على إعلانات اجتماعية موجهة لخدمة بث مزيفة كوسيلة لجذب المستخدم.
كيف تحمي هاتفك من هذه الهجمات؟
أفضل خط دفاع هو عدم تثبيت تطبيقات أندرويد من إعلانات أو مواقع تنزيل مباشرة، خصوصًا إذا كان التطبيق غير موجود في متجر Google Play. كذلك يجب التعامل بحذر شديد مع أي تطبيق يطلب صلاحيات Accessibility أو مشاركة الشاشة أو إدارة الجهاز من دون سبب واضح يتناسب مع وظيفته.
وتوفر ThreatFabric في تقريرها الأصلي عن StreamRat تفاصيل تقنية إضافية حول طريقة انتشار البرمجية والقدرات التي يحصل عليها المهاجم بعد منح الصلاحيات المطلوبة.
إذا كنت قد ثبتت تطبيقًا مشبوهًا من هذا النوع ومنحته صلاحيات حساسة، فمن الأفضل فصل الهاتف عن شبكة Wi-Fi وبيانات الهاتف، ثم محاولة إلغاء صلاحيات التطبيق وحذفه. كما يفضل استخدام جهاز آخر موثوق لتغيير كلمات المرور المهمة، خصوصًا البريد الإلكتروني والحسابات المالية، والتواصل مع البنك إذا استخدمت تطبيقات مصرفية على الجهاز خلال فترة الاشتباه بالإصابة.
الحملة تذكير واضح بأن الإعلان الموجود داخل منصة كبيرة ليس ضمانًا للأمان. عندما يحاول إعلان لخدمة مجانية دفعك إلى تنزيل ملف APK من خارج المتجر الرسمي، ثم يطلب منك تجاوز تحذيرات أندرويد ومنح صلاحيات شديدة الحساسية، فهذه إشارات كافية للتوقف قبل أن يتحول تطبيق بث مجاني إلى وسيلة تمنح المهاجم سيطرة شبه كاملة على الهاتف.
لا يسمح بنقل هذا المحتوى من سوالف دون الاشارة برابط مباشر
