پژوهشگران امنیت سایبری نسخه جدیدی از بدافزار TrickMo را شناسایی کردهاند؛ بدافزار بانکی اندرویدی که در کمپینهای هدفمند کاربران اروپایی را هدف قرار داده است. در این نسخه، بدافزار TrickMo برای برقراری ارتباط مخفی با زیرساخت فرماندهی و کنترل (C2) از شبکه غیرمتمرکز The Open Network (TON) استفاده میکند؛ رویکردی که ردیابی و مسدودسازی زیرساخت مهاجمان را برای سامانههای امنیتی بهمراتب دشوارتر میکند.
سابقه فعالیت بدافزار TrickMo در حملات بانکی موبایلی
خانواده بدافزار TrickMo برای نخستین بار در سپتامبر 2019 شناسایی شد و از آن زمان تاکنون بهطور مستمر توسعه یافته و بهروزرسانیهای متعددی دریافت کرده است. این بدافزار موبایلی با هدف سرقت اطلاعات مالی کاربران طراحی شده و در طول سالهای اخیر قابلیتهای جدیدی به آن اضافه شده است.
در اکتبر 2024، شرکت امنیتی Zimperium گزارشی منتشر کرد که نشان میداد 40 نمونه مختلف از این بدافزار شناسایی شدهاند. این نمونهها از طریق 16 دراپر (Dropper) منتشر میشدند و با 22 زیرساخت C2 ارتباط برقرار میکردند. هدف اصلی این کمپینها جمعآوری اطلاعات حساس کاربران در مناطق مختلف جهان بود.
شناسایی نسخه جدید بدافزار توسط ThreatFabric
پژوهشگران شرکت امنیتی ThreatFabric نسخه جدیدی از بدافزار TrickMo را با نام Trickmo.C شناسایی کردهاند. بررسیها نشان میدهد این نمونه از ژانویه 2026 تاکنون تحت بررسی و تحلیل مستمر قرار داشته است.
در کمپینهای اخیر، این بدافزار در قالب اپلیکیشنهای جعلی TikTok یا برنامههای استریم منتشر شده و کاربران اندرویدی در کشورهای فرانسه، ایتالیا و اتریش را هدف قرار میدهد. تمرکز اصلی مهاجمان بر سرقت اطلاعات حساس اپلیکیشنهای بانکی و کیف پولهای رمزارزی کاربران است.
استفاده از شبکه TON برای مخفیسازی ارتباطات C2
یکی از مهمترین تغییرات نسخه جدید بدافزار TrickMo، استفاده از شبکه TON برای ارتباط با اپراتورهای حمله است. این ارتباطها از طریق آدرسهای .ADNL برقرار شده و توسط یک پروکسی لوکال TON در دستگاه آلوده مدیریت میشوند.
شبکه TON یک زیرساخت همتابههمتا (Peer-to-Peer-P2P) و غیرمتمرکز است که ابتدا در اکوسیستم تلگرام توسعه یافته است. این شبکه به دستگاهها اجازه میدهد از طریق یک شبکه همپوشان رمزگذاریشده (Encrypted Overlay Network) با سرویسها ارتباط برقرار کنند، بدون اینکه زیرساخت واقعی سرورها در اینترنت عمومی قابل مشاهده باشد.
در این ساختار، سرویسها به جای دامنههای معمولی، با شناسههای 256 بیتی شناسایی میشوند که آدرس IP و پورت واقعی سرور را مخفی کرده و شناسایی یا مسدودسازی زیرساخت مهاجمان را دشوارتر میسازد.
به گفته محققان ThreatFabric، روشهای سنتی Takedown دامنهها کارایی چندانی ندارند، زیرا endpointهای اپراتور حمله در ساختار DNS عمومی وجود نداشته و تنها بهصورت هویتهای.adnl در شبکه TON قابل دسترسی هستند. همچنین سامانههای مانیتورینگ شبکه تنها ترافیک رمزگذاریشده TON را مشاهده میکنند که از نظر الگوی ترافیکی با سایر برنامههای مبتنی بر TON تفاوتی ندارد.
معماری عملیاتی بدافزار
تحلیلهای فنی نشان میدهد بدافزار TrickMo دارای معماری ماژولار دو مرحلهای است.
در مرحله اول، یک APK میزبان (Host APK) بهعنوان لودر عمل میکند و وظیفه ایجاد پایداری (Persistence) و دانلود ماژولهای تکمیلی را بر عهده دارد. در مرحله دوم، یک ماژول APK ثانویه در زمان اجرا دریافت و نصب میشود تا قابلیتهای تهاجمی بدافزار فعال گردد.
قابلیتهای سرقت اطلاعات
این بدافزار مجموعهای از قابلیتهای جاسوسی و سرقت اطلاعات را در اختیار مهاجمان قرار میدهد. مهمترین این قابلیتها عبارتند از:
- اجرای فیشینگ از طریق overlay جعلی اپلیکیشنهای بانکی
- ثبت کلیدهای فشردهشده (Keylogging)
- ضبط صفحه و استریم زنده صفحه
- رهگیری پیامکها
- مخفیسازی اعلانهای رمز یکبار مصرف (OTP)
- تغییر محتوا در کلیپبورد
- فیلتر کردن اعلانها
- ثبت اسکرینشات
قابلیتهای شبکهای جدید در بدافزار TrickMo
در نسخه جدید بدافزار TrickMo مجموعهای از ابزارهای شبکهای نیز اضافه شده است:
- curl
- dnsLookup
- ping
- telnet
- traceroute
همچنین در این بدافزار قابلیتهایی مانند تانلینگ SSH، انتقال پورت از راه دور، انتقال پورت لوکال و پشتیبانی از پروکسی SOCKS5 با احراز هویت نیز مشاهده شده است. این قابلیتها میتوانند دستگاه قربانی را به یک پروکسی عملیاتی برای مهاجمان تبدیل کنند.
استفاده از فریمورکPine Runtime Hooking
همچنین پژوهشگران وجود فریمورک Pine Runtime Hooking را در کد بدافزار مشاهده کردهاند که پیشتر برای رهگیری عملیات شبکه و سرویس Firebase در برخی بدافزارها استفاده میشد. با این حال در نمونه فعلی هیچ Hook فعالی نصب نشده و این قابلیت در حال حاضر غیرفعال است.
مجوزهای NFC در بدافزار TrickMo
بررسیها نشان میدهد این بدافزار درخواست مجوزهای گسترده NFC را در سیستم ثبت میکند و اطلاعات مربوط به قابلیتهای NFC دستگاه را در دادههای تلهمتری ارسال میکند. با این حال پژوهشگران هیچ عملکرد فعال NFC در این نمونه مشاهده نکردهاند.
توصیههای امنیتی برای کاربران اندروید
برای کاهش ریسک آلودگی به بدافزارهای موبایلی توصیه میشود:
- اپلیکیشنها را تنها از Google Play دانلود کنید.
- از نصب اپلیکیشنهای ناشناس خودداری کنید.
- تعداد اپلیکیشنهای نصبشده روی گوشی را محدود نگه دارید.
- قابلیت Google Play Protect را همیشه فعال نگه دارید.
