عملیات بدافزارهای اندرویدی؛ ادغام Dropperها، سرقت SMS و توانایی RATها در مقیاس وسیع!

خلاصه اجرایی  Vulnerbyte

تحقیقات جدید نشان می‌دهد اکوسیستم بدافزارهای اندرویدی وارد فاز صنعتی و مقیاس‌پذیر شده است؛ جایی که بدافزارها دیگر صرفاً SMS Stealer نیستند، بلکه با استفاده از Dropperهای چندلایه، ارتباط دوطرفه C2 و قابلیت‌های RAT به ابزارهای تمام‌عیار سرقت مالی و نظارت تبدیل شده‌اند.
نمونه‌ی شاخص این تحول، بدافزاری به نام Wonderland است که کاربران ازبکستان را هدف قرار داده و نشان‌دهنده‌ی بلوغ عملیاتی گروه‌های جرم‌سازمان‌یافته موبایلی است.

گذار از Trojan ساده به Dropperهای هوشمند

طبق تحلیل Group-IB، مهاجمان، دیگر APKهای «بدافزار خالص» منتشر نمی‌کنند.
الگوی جدید مبتنی بر Dropperهایی است که ظاهراً اپلیکیشن سالم هستند اما:

• Payload مخرب رمزگذاری‌شده را در خود دارند

• پس از نصب، بدون نیاز به اینترنت، بدافزار اصلی را فعال می‌کنند

• از بسیاری از کنترل‌های امنیتی عبور می‌کنند

این رویکرد باعث می‌شود:

• اسکن استاتیک تقریباً بی‌اثر شود

• شناسایی مبتنی بر Signature شکست بخورد

• مهندسی معکوس زمان‌بر و پرهزینه شود

بدافزار اندرویدی Wonderland (نام قبلی: WretchedCat) | کالبدشکافی فنی

Wonderland یک SMS Stealer ساده نیست؛ بلکه یک عامل کنترل‌پذیر از راه دور است:

قابلیت‌های کلیدی

• ارتباط دوطرفه C2 (Real-Time)

• سرقت SMS و OTP

• اجرای درخواست‌های USSD دلخواه

• ارسال SMS از دستگاه قربانی (Lateral Movement)

• مخفی‌سازی Notificationها برای دور زدن هشدارهای امنیتی

• سرقت مخاطبین و شماره تلفن

تکنیک‌های فریب کاربر

• جعل Google Play

• فایل‌های ویدئویی، عکس، دعوت‌نامه عروسی

• نمایش پیام «برای استفاده از برنامه، آپدیت را نصب کنید»

• وادار کردن کاربر به فعال‌سازی Install from Unknown Sources