خیلیها فکر میکنند اگر اینترنت گوشی را خاموش کنند، دست هکر از دادههایشان کوتاه میشود. بدافزار تازهای به نام «مانیک» (Manic) نشان میدهد که این فرض همیشه درست نیست: اگر گوشی آلوده به اینترنت دسترسی نداشته باشد، این بدافزار دادههای دزدیدهشده را به گوشیهای آلودهی اطرافش میسپارد تا از آنجا به دست مهاجمان برسد.
بدافزاری که قواعد نفوذ را تغییر میدهد
مانیک را شرکت امنیتی ThreatFabric بررسی و گزارش کرده است. بر اساس این گزارش، بدافزار دستکم از بهمن ۱۴۰۴ (فوریه ۲۰۲۶) فعال بوده و ترکیبی است از یک تروجان بانکی، نرمافزار جاسوسی و ابزار کنترل از راه دور. مانیک دستکم ۱۶۹ اپلیکیشن را هدف گرفته است: برنامههای بانکی، سرویسهای پرداخت، اپلیکیشنهای دولتی و احراز هویت، پیامرسانها، کیفپولهای رمزارز و اپلیکیشنهای احراز هویت دومرحلهای.
هشدار
مانیک برای سرقت اطلاعات از سرویس «دسترسپذیری» (Accessibility) اندروید سوءاستفاده میکند؛ قابلیتی که در اصل برای کمک به کاربران کمبینا طراحی شده است. وقتی کاربر مجوز استفاده از این خدمات را به یک اپلیکیشن میدهد، آن برنامه میتواند همهی محتوای روی صفحه را ببیند، با آن تعامل کند و کارها را خودکار انجام دهد؛ درست مثل زمانی که خود کاربر پشت گوشی نشسته است. مهاجمان از همین مسیر مجوزهای بیشتر میگیرند، جلوی حذف بدافزار را میگیرند و ابزارهای امنیتی را خاموش میکنند.
مانیک بهجای روش قدیمی ساختن صفحهی ورود جعلی، ترفند هوشمندانهتری به کار میبرد. وقتی تشخیص میدهد صفحهکلید عددی یک اپلیکیشن هدف باز شده، یک لایهی کاملاً شفاف روی آن میگذارد و هر ضربهی انگشت شما را ثبت میکند. نکتهی مهم اینجاست: بدافزار بلافاصله همان ضربه را با کمک سرویس دسترسپذیری به صفحهکلید واقعی منتقل میکند تا برنامه دقیقاً مثل همیشه کار کند و کاربر هیچ چیز غیرعادی نبیند.
مانیک هرچه را تایپ میکنید کورکورانه ذخیره نمیکند؛ نوع اطلاعات را تشخیص میدهد و آن را دستهبندی میکند: رمز عبور، نام کاربری ایمیل، کدهای پیامکی چهار تا ششرقمی، رشتههایی که شبیه عبارت بازیابی کیفپول رمزارز هستند و رمز یا الگوی باز کردن قفل گوشی. کنار خودِ متن، ثبت میکند که از کدام برنامه آمده، چه زمانی وارد شده و آیا کاربر آن را تایپ کرده یا از تکمیل خودکار استفاده کرده است.
این بدافزار مجوز خواندن پیامکها و اعلانها را هم میگیرد. یعنی کدهای یکبارمصرف و رمزهای دوم بانکی، پیش از آنکه شما فرصت کنید آنها را در برنامه وارد کنید، به دست مهاجم میرسد. مانیک همچنین میتواند کنترل کامل گوشی را از راه دور به مهاجم بدهد و برای اینکه کاربر متوجه نشود، صفحه را سیاه میکند یا پیام جعلی «بهروزرسانی سیستم» نشان میدهد.
سرقت اطلاعات در زمان قطعی اینترنت
بدافزارها معمولاً اطلاعات را جمع میکنند و مستقیم از راه اینترنت به سرور مهاجمان میفرستند. اما سازندگان مانیک برای وقتی که گوشی به اینترنت یا به سرور فرماندهی دسترسی ندارد، راه دیگری طراحی کردهاند.
هشدار
اگر دستگاه آلوده به اینترنت وصل نباشد، مانیک دادههای سرقتشده را رمزنگاری و روی گوشی نگه میدارد، بعد سراغ گوشیهای آلودهی اطراف میرود: اول از راه وایفای دایرکت (Wi-Fi Direct) و اگر نشد از راه بلوتوث و بلوتوث کممصرف. اگر دستگاه آلودهی دیگری پیدا کند که اینترنت دارد، بستهی داده را به آن میسپارد تا از آنجا برای مهاجمان ارسال شود.
این زنجیره میتواند تا چهار دستگاه واسطه ادامه پیدا کند؛ یعنی گوشیهای آلوده عملاً به یک شبکهی محلی برای بیرون بردن اطلاعات تبدیل میشوند. اگر هیچ دستگاه مناسبی در آن نزدیکی نباشد، اطلاعات روی گوشی اصلی میماند تا بدافزار در فرصت بعدی دوباره تلاش کند.
چه کسانی هدف این حمله هستند؟
محققان با نگاه به فهرست اپلیکیشنهای هدف، دامنهی جغرافیایی حمله را مشخص کردهاند: کشورهای اروپای مرکزی و غربی از جمله اتریش، جمهوری چک، استونی، فرانسه، آلمان، لیتوانی، هلند، لهستان، اسلواکی، اسپانیا و بریتانیا، بهعلاوهی روسیه. با این حال تمرکز اصلی مهاجمان روی اپلیکیشنهای بانکی و دولتی اوکراین و در کنار آن سرویسهای جهانی فینتک و رمزارز است. تا امروز گزارشی از هدف قرار گرفتن کاربران ایرانی منتشر نشده است.
نوشدارو پلاس
پس چرا این خبر برای ما مهم است؟ چون سازوکار مانیک دقیقاً همان چیزی است که در کلاهبرداریهای بانکی رایج در ایران هم دیده میشود: نصب فایل APK از کانال تلگرامی یا لینک پیامکی، و بعد گرفتن مجوز «دسترسپذیری» با بهانههایی مثل «برای نمایش صحیح برنامه لازم است». تکنیکهای تازهای مثل لایهی نامرئی روی صفحهکلید معمولاً با فاصلهی کوتاهی در بدافزارهای فارسیزبان هم تکرار میشوند.
چگونه از گوشی خود محافظت کنیم؟
گوگل در پاسخ به خبرنگاران اعلام کرده بر اساس سازوکارهای شناسایی فعلیاش، هیچ برنامهی آلوده به مانیک در گوگلپلی پیدا نشده و Play Protect کاربران را در برابر نسخههای شناختهشدهی این بدافزار محافظت میکند. مسیر ورود این بدافزار به گوشی هنوز بهطور دقیق مشخص نیست، اما به احتمال زیاد کاربران آن را از منابع غیررسمی، سایتهای دانلود غیرمجاز، لینکهای ارسالشده در پیامرسانها یا سایتهای کلاهبرداری نصب میکنند.
- اپلیکیشنها را فقط از فروشگاههای رسمی نصب کنید و از نصب فایلهای APK منتشرشده در کانالهای تلگرامی یا سایتهای متفرقه بپرهیزید.
- مجوز «دسترسپذیری» (Accessibility) را به هیچ برنامهای ندهید، مگر آنکه دقیقاً بدانید چرا به آن نیاز دارد و به منبعش اطمینان کامل داشته باشید.
- به برنامههای ناشناس اجازهی خواندن پیامک و اعلان ندهید؛ کد یکبارمصرف بانکی از همین مسیر دزدیده میشود.
- Play Protect را روشن نگه دارید و هر از چندی گوشی را با آن اسکن کنید.
- اگر صفحهی گوشی بیدلیل سیاه میشود یا پیام «بهروزرسانی سیستم» غیرمنتظره میبینید، آن را جدی بگیرید و فهرست برنامههای دارای دسترسی ویژه را بررسی کنید.
