أصدرت المديرية العامة لأمن نظم المعلومات التابعة لإدارة الدفاع الوطني، يوم 5 ماي 2025، مذكرة أمنية تحذر فيها من تهديد خطير يتعلق ببرمجية خبيثة تُعرف باسم "BTMOB RAT"، والتي تم تصنيفها على أنها ذات "خطر ووقع بالغين".

ويُعد "BTMOB RAT" حصان طروادة للوصول عن بُعد (RAT)، يستهدف أجهزة أندرويد، وقد تم اكتشافه لأول مرة في فبراير 2025.

وينتشر هذا البرنامج الضار بشكل أساسي عبر مواقع التصيد الإلكتروني وتطبيقات خبيثة تُعرض على متجر Google Play، و ما يميّز هذا التهديد هو استغلاله لخدمات الوصول الخاصة بنظام أندرويد، مما يسمح له بالحصول على أذونات شرعية وتجاوز آليات الأمان للنظام.

وتشير المذكرة إلى أن "BTMOB RAT" يستخدم تقنيات متقدمة لتعزيز انتشار العدوى والحفاظ على وجوده بشكل دائم في الجهاز المُصاب، وتتمثل مهمته الرئيسية في سرقة المعلومات الحساسة من واجهة المستخدم، بما في ذلك بيانات الدخول، والرسائل، والمعلومات البنكية، عبر مراقبة الشاشة ولوحة المفاتيح الافتراضية، حيث يمكنه تسجيل البيانات بشكل لحظي، بما فيها كلمات المرور ومعلومات الدفع.

كما يعتمد البرنامج الضار على خدمات الوصول في أندرويد للحصول على صلاحيات تمكنه من تجاوز برمجيات الحماية وكشف الفيروسات.

ورغم أن هذه الخدمات صُممت لمساعدة ذوي الاحتياجات الخاصة، إلا أن استخدامها من قبل هذا النوع من البرمجيات يمكّن المهاجم من تنفيذ أوامر والوصول إلى بيانات حساسة دون أن يتم رصده.

وتبرز خطورة "BTMOB RAT" كذلك في كونه يُعرض كخدمة في السوق السوداء عبر نموذج "البرمجيات كخدمة" (MaaS)، ما يتيح لمجموعة من المهاجمين استئجار أو شراء استخدامه لتنفيذ حملات خبيثة خاصة بهم.

ودعت المديرية العامة لأمن نظم المعلومات جميع الجهات المعنية إلى أخذ الحيطة والحذر من هذا التهديد، من خلال دمج مؤشرات الاختراق (IOCs) المرفقة في أدوات الرصد والتحليل، مع الإبلاغ الفوري للمديرية في حال رصد أي نشاط مشبوه مرتبط بهذا التهديد.

مؤشرات الاختراق (IOCs)
تواقيع رقمية (Hashes):

b65aa939027363fb64718e51fb0e97add788db1621dd7ade048a8afd2523417b

8b29297ded0d6c48e0ebcf4981235c5d375793b716c4d5aeb3af19e77cee76e

2b307f11ae4189316741546245c477f1c0645f0bb106290cd35859970f8f62668

عناوين IP مشبوهة:

206.206.125.203

64.233.166.84

64.233.184.84

66.102.1.84

142.250.200.1

157.240.221.16

142.250.200.2

216.58.201.97

216.58.212.226

172.217.169.33

وحثّت المذكرة جميع الجهات التي ترصد هذه المؤشرات أو تشك في وجود نشاط متعلق بها على التواصل مع مركز التنسيق والاستجابة لحوادث الأمن المعلوماتي عبر البريد الإلكتروني: [email protected].