قد يبدأ الهجوم بمكالمة تبدو رسمية تمامًا، شخص يدعي أنه موظف في البنك، أو ممثل لجهة حكومية، يخبرك بأن حسابك يحتاج إلى تحقق عاجل. بعد لحظات يصلك رابط يقود إلى صفحة تشبه متجر Google Play، ثم يُطلب منك تثبيت تطبيق لحل المشكلة.
لكن التطبيق ليس من متجر جوجل أصلًا، وبمجرد تثبيته ومنحه صلاحية «إمكانية الوصول» Accessibility، يمكن لبرمجية خبيثة متطورة تُعرف باسم RedHook أن تبدأ رحلة للسيطرة على هاتف أندرويد، من مراقبة الشاشة وتسجيل ما تكتبه إلى تثبيت تطبيقات أخرى وحذفها وتنفيذ أوامر متقدمة داخل النظام.
وكشفت شركة الأمن السيبراني Group-IB في تحليل نشرته في يوليو 2026 أن النسخة الجديدة من RedHook أصبحت أكثر خطورة، بعدما بدأت باستغلال ميزة Wireless Debugging في أندرويد للحصول على صلاحيات على مستوى Shell، تمنحها قدرات أكبر بكثير من التطبيقات العادية، وإن كانت لا تصل إلى صلاحيات Root الكاملة.
ما هو فيروس RedHook؟
فيروس RedHook هو حصان طروادة للوصول عن بُعد، أو ما يعرف اختصارًا باسم RAT، وهي فئة من البرمجيات الخبيثة التي تسمح للمهاجم بمراقبة الجهاز المصاب والتحكم فيه من مكان آخر.
وظهر RedHook لأول مرة في تقارير أمنية خلال يوليو 2025، لكنه عاد في نسخة أكثر تطورًا خلال 2026.
وبحسب Group-IB، احتفظت النسخة الجديدة بقدرات التجسس التقليدية، مثل تسجيل ضغطات لوحة المفاتيح وبث شاشة الهاتف، لكنها أضافت طريقة متقدمة لاستغلال أدوات المطورين في أندرويد للحصول على امتيازات أعلى داخل النظام.
والأخطر أن هذه العملية لا تتطلب توصيل الهاتف بحاسوب عبر كابل USB، فالبرمجية تستطيع، بعد حصولها على صلاحية Accessibility، تشغيل خيارات المطور وتفعيل Wireless Debugging وربط الهاتف بنفسه، ما يسمح لها بالوصول إلى بيئة ADB من داخل الجهاز ذاته.
الهجوم يبدأ بخداع الضحية وليس باختراق أندرويد مباشرة
رغم القدرات التقنية المتقدمة للفيروس، فإن الخطوة الأولى في الهجوم تعتمد على أسلوب قديم جدًا: إقناع الضحية بالتعاون مع المهاجم.
وينتحل المحتالون صفة موظفين في البنوك أو الجهات الحكومية أو خدمات الدعم الفني، ثم يضغطون على الضحية لإقناعها بأن هناك مشكلة عاجلة تحتاج إلى تثبيت تطبيق.
ويتم إرسال رابط يقود إلى موقع مزيف قد يبدو شبيهًا بموقع حكومي أو مصرفي، أو حتى بمتجر Google Play، لكن التطبيق الخبيث يتم تثبيته من خارج متجر جوجل الرسمي عبر ملف APK.
وهنا تبدأ المرحلة الأخطر، إذ يطلب التطبيق من المستخدم منحه صلاحية «إمكانية الوصول»، وقد تبدو هذه الخطوة عادية لمن لا يعرف طبيعة هذه الصلاحية، لكنها تمنح التطبيق قدرة واسعة على مشاهدة ما يظهر على الشاشة وتنفيذ إجراءات نيابة عن المستخدم.
لماذا تعتبر صلاحية Accessibility خطيرة؟
طورت جوجل خدمات Accessibility أساسًا لمساعدة الأشخاص الذين يواجهون صعوبات في استخدام هواتفهم، مثل المكفوفين أو أصحاب الاحتياجات الخاصة.
لكن طبيعة هذه الخدمات تتطلب منح التطبيق صلاحيات قوية، فالتطبيق الذي يحصل على إذن مناسب يمكنه قراءة عناصر الشاشة، ومعرفة الأزرار التي تظهر أمام المستخدم، وتنفيذ عمليات ضغط وسحب وفتح القوائم.
وتستغل RedHook هذه القدرات بطريقة خبيثة، فبعد الحصول على الإذن، تستطيع البرمجية محاكاة ضغطات المستخدم والتنقل تلقائيًا داخل إعدادات الهاتف.
وبحسب تحليل Group-IB، يمكنها الضغط على رقم إصدار النظام سبع مرات لتفعيل «خيارات المطور»، ثم الانتقال إلى Wireless Debugging وتشغيلها وطلب رمز الاقتران، وكل ذلك اعتمادًا على التحكم الذي حصلت عليه عبر Accessibility.
الهاتف يخترق نفسه عبر 127.0.0.1
تستخدم البرمجية عنوانًا محليًا يعرف باسم 127.0.0.1، وهو عنوان يشير إلى الجهاز نفسه، وبدلاً من أن يحتاج المهاجم إلى حاسوب خارجي للاتصال بالهاتف عبر أدوات المطور، تقوم البرمجية بتضمين عميل ADB داخل الهاتف ثم تربطه بخدمة ADB الموجودة على الجهاز نفسه عبر واجهة Loopback المحلية.
وبذلك يصبح الهاتف عمليًا هو العميل والخادم في الوقت نفسه، وتسمح هذه الحيلة لـRedHook بتشغيل عملية بصلاحيات Shell تحمل هوية المستخدم UID 2000 في نظام أندرويد.
وهذه الصلاحيات أقوى بكثير من تلك التي تحصل عليها التطبيقات العادية، وتسمح بتنفيذ أوامر حساسة وتعديل بعض إعدادات النظام المحمية ومنح أذونات إضافية.
ما هو ADB الذي يستغله RedHook؟
ADB هو اختصار لـ Android Debug Bridge، وهي أداة شرعية طورتها جوجل لمساعدة المطورين على التحكم في أجهزة أندرويد من خلال سطر الأوامر.
ويستخدمها المطورون لتثبيت التطبيقات التجريبية، وتشخيص الأخطاء، والوصول إلى بعض وظائف الهاتف المتقدمة.
ومع أندرويد 11، أضافت جوجل ميزة Wireless Debugging، التي تسمح باستخدام ADB عبر الشبكة اللاسلكية بدل الاعتماد على كابل USB.
وتستغل RedHook هذه الميزة للحصول على وصول أقوى للنظام، فالمشكلة هنا ليست أن Wireless Debugging ميزة خبيثة في حد ذاتها، بل أن البرمجية تستغل صلاحية Accessibility التي منحها المستخدم لها لتفعيل الميزة وإكمال عملية الاقتران من دون أن يفهم الضحية ما يحدث خلف الشاشة.
RedHook يستعير تقنيات من تطبيق Shizuku الشرعي
اكتشف الباحثون أن البرمجية الخبيثة تستخدم أجزاء مستوحاة بصورة كبيرة من مشروع Shizuku.
وشيزوكو تطبيق شرعي معروف لدى مطوري أندرويد والمستخدمين المتقدمين، ويسمح لتطبيقات معينة باستخدام بعض الوظائف المرتفعة الصلاحيات من دون الحاجة إلى عمل Root للهاتف.
لكن RedHook يعيد توظيف هذه الفكرة لأغراض خبيثة، فبعد الحصول على اتصال ADB، تشغل البرمجية خادمًا بصلاحيات Shell، ثم تستخدمه لتنفيذ أوامر محمية ومنح نفسها أذونات إضافية وتغيير إعدادات لا تستطيع التطبيقات العادية الوصول إليها بسهولة.
53 أمرًا يمكن للقراصنة إرسالها إلى الهاتف
وجد الباحثون في Group-IB أن النسخة الحالية من RedHook تدعم 53 أمرًا مختلفًا يمكن إرسالها من خوادم المهاجم إلى الجهاز المصاب.
وبعض هذه الأوامر لا يزال غير مكتمل أو لا يعمل بالصورة المتوقعة، لكن القدرات الفعالة وحدها تمنح المهاجم سيطرة واسعة للغاية.
يمكن للفيروس بث شاشة الهاتف مباشرة إلى المهاجم والتقاط صور للشاشة، كما يمكنه تسجيل ضغطات لوحة المفاتيح وسرقة بيانات تسجيل الدخول، وجمع جهات الاتصال والرسائل النصية وقائمة التطبيقات المثبتة.
ويستطيع كذلك تنفيذ النقرات وحركات السحب والضغط المطول، وفتح التطبيقات والتحكم في واجهة الهاتف عن بعد.
والأخطر أنه قادر على تثبيت ملفات APK جديدة أو إزالة تطبيقات موجودة، مستفيدًا من الصلاحيات المرتفعة لتجاوز بعض رسائل التأكيد التي تظهر عادة للمستخدم.
يمكنه تصوير الضحية أثناء «تحقق مزيف»
تتضمن RedHook أيضًا أدوات متقدمة للخداع البصري، فيمكن للمهاجم إظهار نافذة تحقق مزيفة أمام المستخدم، بينما يتم تشغيل الكاميرا الأمامية في الخلفية لالتقاط صورة لوجه الضحية.
ويمكن استخدام هذه الطريقة في هجمات تستهدف تجاوز إجراءات التحقق من الهوية أو جمع بيانات إضافية عن الضحية.
كما يستطيع الفيروس عرض شاشة سوداء أو واجهة مزيفة تشبه تحديث النظام، لإخفاء ما يقوم به المهاجم على الجهاز.
وبينما يعتقد المستخدم أن هاتفه يقوم بتثبيت تحديث أو معالجة مشكلة، يمكن للمهاجم أن يكون في الخلفية يفتح تطبيقًا مصرفيًا أو يغير إعدادات أو يثبت برمجية خبيثة إضافية.
لماذا يمثل RedHook خطرًا على الحسابات البنكية؟
تمثل تطبيقات البنوك والخدمات المالية أحد الأهداف الأكثر خطورة في هذا النوع من الهجمات.
فإذا تمكن المهاجم من بث الشاشة وتسجيل لوحة المفاتيح والتحكم في النقرات، يمكنه مراقبة الضحية أثناء تسجيل الدخول إلى حسابها المصرفي.
وقد يستطيع التقاط كلمة المرور أو رمز التحقق الذي يصل عبر رسالة نصية، أو وضع نافذة مزيفة فوق التطبيق الحقيقي لخداع المستخدم وإجباره على إدخال بياناته.
كما أن القدرة على التحكم بالهاتف تسمح للمهاجم بتنفيذ عمليات احتيال أكثر تعقيدًا من مجرد سرقة كلمة مرور.
فقد يحاول إزالة تطبيق أمني أو تثبيت برنامج خبيث آخر أو اعتراض البيانات التي يحتاجها لإكمال عملية مالية.
الفيروس مصمم للبقاء حتى بعد محاولة إغلاقه
لا تكفي السيطرة على الهاتف لتحقيق أرباح للمهاجم إذا أوقف أندرويد البرمجية بعد دقائق، ولهذا طورت RedHook مجموعة من وسائل البقاء تعمل معًا لمنع النظام من إنهائها بسهولة.
وبحسب الباحثين، تستطيع البرمجية تشغيل صوت صامت حتى يتعامل أندرويد مع عمليتها باعتبارها نشطة ومهمة.
كما تستخدم WakeLock لمنع المعالج من الدخول في حالة نوم كاملة، وتشغل خدمتين تراقب كل واحدة منهما الأخرى، فإذا توقفت إحداهما تحاول الثانية إعادة تشغيلها.
كما تضبط منبهًا يعمل كل خمس دقائق للتحقق من استمرار تشغيل الخدمات الخبيثة، ويمكنها العودة للعمل بعد إعادة تشغيل الهاتف.
ولهذا قد لا يؤدي مجرد إغلاق التطبيق أو سحبه من قائمة التطبيقات الحديثة إلى التخلص من الإصابة.
إقرأ أيضا: اختراق جديد يضرب LastPass.. ما مصير كلمات المرور؟
علامات تحذيرية قد تكشف هجوم RedHook
توجد مجموعة من الإشارات التي ينبغي التعامل معها بحذر شديد، خصوصًا عندما تظهر أكثر من واحدة في الوقت نفسه.
أبرزها تلقي مكالمة أو رسالة تضغط عليك لتثبيت تطبيق بصورة عاجلة، خصوصًا عندما يدعي المتصل أنه يمثل بنكًا أو جهة حكومية.
ويجب أيضًا التوقف فورًا إذا فتح رابط التحميل صفحة تشبه Google Play داخل متصفح الإنترنت، بدل أن تفتح تطبيق متجر Google Play الحقيقي.
كما يعد طلب تطبيق غير معروف الوصول إلى Accessibility من أهم علامات الخطر.
ويصبح الأمر أكثر إثارة للشك إذا طلب منك التطبيق أو المتصل الضغط سبع مرات على Build Number لتفعيل خيارات المطور، أو تشغيل Wireless Debugging رغم أنك لا تستخدم أدوات تطوير التطبيقات.
وقد تشمل العلامات الأخرى ظهور شاشة سوداء غريبة، أو واجهة تحديث مزيفة، أو تطبيق يعيد فتح نفسه باستمرار ويصعب حذفه.
إقرأ أيضا: تسريب 24 مليار كلمة مرور على الإنترنت منها كلمات مرور تستخدمها
كيف تحمي هاتفك من RedHook؟
أهم وسيلة للحماية هي منع الهجوم قبل وصوله إلى مرحلة الصلاحيات المتقدمة، فلا ينبغي تثبيت تطبيق مصرفي أو حكومي عبر ملف APK يصلك في رسالة أو مكالمة، خصوصًا عندما يتم تحميله من موقع خارجي.
كما يجب التعامل مع صلاحية Accessibility باعتبارها صلاحية حساسة للغاية، وعدم منحها لتطبيق لا يحتاجها بصورة واضحة ومقنعة.
وإذا طلب منك شخص يدعي أنه موظف بنك أو جهة رسمية تفعيل خيارات المطور أو Wireless Debugging، فيجب إنهاء المكالمة فورًا والتواصل مع المؤسسة عبر رقمها الرسمي.
فالمؤسسات الشرعية لا تحتاج عادة إلى منح تطبيق مجهول سيطرة على شاشة هاتفك لحل مشكلة في حسابك.
إقرأ أيضا: اختراق روسي لأجهزة الراوتر.. تحذير عاجل لمستخدمي TP-Link
