🚨 کشف یک تروجان جدید و بسیار پیشرفته اندروید: Glitch SPY RAT 🚨

کارشناسان امنیتی شرکت Cyble گزارش فنی مفصلی از یک بدافزار نوظهور و فوق‌العاده خطرناک به نام Glitch SPY منتشر کرده‌اند که کاربران سیستم‌عامل اندروید را هدف قرار داده است. این بدافزار با اهداف جاسوسی، سرقت اطلاعات حساس و کلاهبرداری‌های مالی طراحی شده و به صورت فعال در حال توسعه است.

🔹 نحوه انتشار و فریب کاربران:

مهاجمان سایبری با راه‌اندازی یک وب‌سایت جعلی به نام Tutaj Dom (پلتفرم لهستانی اجاره خانه بدون واسطه)، کاربران را فریب می‌دهند تا یک فایل APK را دانلود کنند.

این فایل در ابتدا یک لودر جعلی (Brokewell) است که با نمایش صفحه به‌روزرسانی دروغین، کاربر را متقاعد می‌کند تا اجازه نصب از منابع ناشناس را صادر کند و سپس پی‌لود اصلی Glitch SPY را روی دستگاه می‌نشاند.

🔹 سوءاستفاده از Accessibility Service:

به محض نصب، بدافزار اصرار به فعال‌سازی خدمات دسترسی‌پذیری (Accessibility) دارد. با فعال شدن این بخش، بدافزار کنترل رابط کاربری را کاملاً به دست می‌گیرد؛ مجوزها را خودکار تایید می‌کند، محتوای متنی صفحه (شامل پیامک‌ها و کدهای OTP) را می‌خواند و حتی مانع از پاک کردن (Uninstall) خود توسط کاربر می‌شود.

🔹 قابلیت‌های جاسوسی و سرقت اطلاعات (بیش از ۷۰ فرمان پنهان):

* استریم زنده و اسکرین‌شات: مهاجم می‌تواند صفحه نمایش گوشی را به صورت زنده مشاهده کرده یا صفحه را از دید قربانی مخفی کند.

* شنود محیطی: دسترسی و استریم پنهانی دوربین و میکروفون دستگاه.

* سرقت اطلاعات شخصی: دسترسی کامل به پیامک‌ها، لیست مخاطبین، تاریخچه تماس‌ها و موقعیت مکانی لحظه‌ای.

* کیلاگر پنهان: ثبت و ضبط تمام کلیدهای لمس‌شده توسط کاربر از جمله رمزهای عبور.

* باج‌افزار مخفی: رمزگذاری فایل‌های حافظه گوشی با الگوریتم AES و حذف ایمن نسخه اصلی برای عدم بازگشت فایل.
* بای‌پاس قفل: سرقت پترن، پین و رمز عبور گوشی و سرکوب پاپ‌آپ‌های بیومتریک (اثر انگشت) جهت اجبار سیستم به fallback روی پین.

🔹 ماژول مخرب مالی (Crypto Clipper):

این بدافزار به طور مداوم کلیپ‌بورد (حافظه موقت کپی متن) را رصد می‌کند.

اگر کاربر آدرس ولت دیجیتال (فرمت‌های ETH/EVM، TRON، Bitcoin legacy و Bech32) را کپی کند، بدافزار فوراً آن را با آدرس متعلق به هکر جایگزین می‌کند تا انتقال وجه به حساب مهاجم انجام شود.

🔹 مرورگر کنترل از راه دور پنهان (Remote Browser):

مهاجم می‌تواند یک پنجره مرورگر مخفی (WebView) را در پس‌زمینه گوشی باز کرده و تراکنش‌ها یا فرآیند تصاحب حساب (Account Takeover) را دقیقاً از داخل گوشی قربانی و با آی‌پی واقعی و کوکی‌های فعال او انجام دهد! این کار باعث می‌شود سیستم‌های ضدتقلب بانک‌ها یا صرافی‌ها به این اتصال مشکوک نشوند.

⚠️ توصیه‌های امنیتی:

۱- اپلیکیشن‌ها را صرفاً از منابع رسمی نظیر Google Play Store دانلود کنید.

۲- به هیچ عنوان مجوزهای حساسی مانند Accessibility Service یا Install Unknown Apps را به برنامه‌های متفرقه ندهید.

۳- قابلیت Google Play Protect را همیشه روشن نگه دارید.

📝 مطالعه متن کامل گزارش فنی در سایت Cyble:

🔗 https://cyble.com/blog/glitch-spy-rat-distributed-via-fake-polish-app/

📢 کانال تخصصی امنیت اندروید:

🆔 @androidSec_fa

#Android #CyberSecurity #Malware #RAT #GlitchSPY #CryptoClipper #AndroidSecurity #امنیت_سایبری #بدافزار #اندروید