Cybersecurity

برمجية Rokarolla الخبيثة تستهدف 217 تطبيقاً مصرفياً ومحفظة عملات رقمية على أندرويد

عمر حسن18 June 2026 at 1:31 am5 دقيقة للقراءة

أبرز النقاط

برمجية Rokarolla تستهدف 217 تطبيقاً مصرفياً ومحافظ عملات رقمية عبر واجهات تسجيل دخول مزيفة
تنتشر عبر مواقع وهمية تنتحل صفة Chrome وTikTok وتتظاهر بأنها Google Play Protect
تستحوذ على صلاحيات إمكانية الوصول للسيطرة الكاملة على الجهاز وتجاوز الحماية الأمنية

كشف باحثون في شركة Zimperium للأمن السيبراني عن برمجية خبيثة جديدة تُدعى Rokarolla تستهدف مستخدمي أندرويد عبر 217 تطبيقاً مصرفياً ومحفظة عملات رقمية، مستخدمةً ترسانة ضخمة من 137 أمراً للتحكم الكامل بالأجهزة المصابة. تمثّل هذه البرمجية تصعيداً خطيراً في موجة أحصنة طروادة المصرفية التي تستغل ثقة المستخدمين بالتطبيقات الشهيرة لسرقة أموالهم وبياناتهم الحساسة.

217

تطبيقاً مصرفياً ومحفظة عملات رقمية مستهدفة من قبل Rokarolla

كيف تنتشر برمجية Rokarolla وتخدع المستخدمين؟

تعتمد Rokarolla على أسلوب خداع متعدد الطبقات يبدأ بمواقع إلكترونية خبيثة تتظاهر بتقديم تطبيقات Chrome أو TikTok. عند تحميل الملف، يعمل التطبيق كـ"قطّارة" (Dropper) تنتحل هوية Google Play Protect، نظام الحماية المدمج في أندرويد، لتوهم المستخدم بأنه يُثبّت تطبيقاً آمناً.

فور تشغيل التطبيق، يطلب صلاحيات خدمة إمكانية الوصول (Accessibility Service) إضافةً إلى أذونات الإشعارات والرسائل النصية والمكالمات. هذه الصلاحيات تمنح المهاجمين قدرات استثنائية تتجاوز آليات الحماية القياسية في أندرويد.

ما الذي تسرقه Rokarolla من الأجهزة المصابة؟

تتواصل البرمجية مع خادم القيادة والتحكم (C2) بإرسال بصمة رقمية للجهاز تشمل طراز الهاتف وإصدار أندرويد واللغة وخصائص الشاشة ومستوى البطارية وسعة التخزين. تُستخدم هذه البيانات لتوليد معرّف فريد لكل ضحية.

الهدف الرئيسي واضح: سرقة البيانات المالية. تفحص البرمجية الجهاز بحثاً عن أي من التطبيقات الـ217 المستهدفة، ثم تُحمّل حمولة تصيّد مخصصة لكل تطبيق موجود.

رسم توضيحي لآلية سرقة البيانات المالية عبر واجهات تسجيل دخول مزيفة

عند فتح الضحية لأي تطبيق مصرفي مستهدف، تعرض Rokarolla واجهة تسجيل دخول مزيفة طبق الأصل لسرقة بيانات الاعتماد ومعلومات البطاقات الائتمانية.

سرقة الرسائل النصية بما فيها رموز التحقق الثنائي
استخراج قائمة جهات الاتصال وجهات اتصال WhatsApp
تسجيل ضربات المفاتيح بشكل متواصل
التقاط محتوى الشاشة عبر تسجيل واجهة المستخدم
نسخ محتويات الحافظة والتلاعب بها
حظر المكالمات الواردة وتنبيهات الاحتيال المصرفي
التقاط لقطات شاشة دورية ورفعها مع طوابع زمنية

137

أمراً للتحكم عن بُعد متاحاً لمشغّلي البرمجية الخبيثة

كيف تتهرب Rokarolla من الكشف؟

تستخدم البرمجية طبقات تخفٍّ متقدمة تتجاوز مجرد سرقة البيانات. تعتمد على الواجهات المنبثقة (Overlays) لاعتراض رمز PIN أو نمط قفل الشاشة، مما يتيح للمهاجمين تشغيل الجهاز حتى وهو مقفل.

مقارنة بين واجهة سرقة رمز PIN (يسار) وواجهة تثبيت وهمية للتمويه (يمين)

تعطيل Google Play Protect لمنع اكتشاف البرمجية
إخفاء أيقونة التطبيق من درج التطبيقات
كتم الصوت والاهتزاز لإخفاء النشاط المشبوه
إبقاء الشاشة نشطة بشكل دائم
عرض شاشات تثبيت وهمية لحجب النشاط الخبيث

لماذا تُشكّل صلاحيات إمكانية الوصول خطراً استثنائياً؟

تُعدّ صلاحيات Accessibility Services بوابة ذهبية للبرمجيات الخبيثة. صُممت أصلاً لمساعدة ذوي الاحتياجات الخاصة، لكنها تمنح التطبيقات قدرة التفاعل مع واجهة المستخدم والموافقة على مطالبات النظام تلقائياً، وهو ما تستغله Rokarolla لتجاوز الحماية الأمنية.

نقاشات مجتمع الأمن السيبراني على منصات مثل Reddit تُشدد على أن هجمات "القطّارة" باتت أكثر تعقيداً، وأن استغلال Accessibility Services أصبح النمط السائد في البرمجيات المالية الخبيثة.

كيف تحمي نفسك من Rokarolla؟

لم تُكتشف البرمجية على متجر Google Play الرسمي حتى الآن، مما يعني أن الخطر الأساسي يكمن في تحميل ملفات APK من مصادر خارجية.

تجنّب تحميل التطبيقات من خارج Google Play إلا من ناشرين موثوقين صراحةً
راجع صلاحيات إمكانية الوصول الممنوحة واقصرها على التطبيقات الضرورية
تحقق من أن Google Play Protect مفعّل ويعمل بشكل طبيعي
لا تثق بأي تطبيق يطلب صلاحيات مفرطة لا تتناسب مع وظيفته

ℹ️

رأي Logicity

تكشف Rokarolla عن ثغرة بنيوية في نموذج أذونات أندرويد: صلاحية واحدة (Accessibility) تفتح باباً واسعاً للسيطرة الكاملة. في أسواق الخليج حيث تتسارع المعاملات المصرفية الرقمية وتداول العملات الرقمية، يصبح الوعي بمخاطر التحميل الجانبي للتطبيقات ضرورة وليس ترفاً. نتوقع أن تُحفّز هذه الموجة Google على تشديد ضوابط Accessibility في إصدارات أندرويد القادمة.

الأسئلة الشائعة

هل يمكن أن تصيبني Rokarolla إذا حمّلت التطبيقات فقط من Google Play؟

حتى الآن لم تُكتشف البرمجية على Google Play، لكن الحذر واجب دائماً. راجع الأذونات المطلوبة حتى للتطبيقات الرسمية.

كيف أعرف إن كان جهازي مصاباً بـRokarolla؟

ابحث عن استنزاف غير طبيعي للبطارية، طلبات أذونات مريبة، أو تطبيقات لا تتذكر تثبيتها. استخدم تطبيق حماية موثوقاً لفحص الجهاز.

ما الفرق بين Rokarolla وأحصنة طروادة المصرفية الأخرى؟

تتميز Rokarolla بحجم أوامرها الضخم (137 أمراً) وقدرتها على انتحال Google Play Protect ذاته، مما يمنحها مصداقية زائفة لدى الضحايا.

هل تستهدف Rokarolla تطبيقات بنوك خليجية بالتحديد؟

لم يُحدد التقرير التطبيقات المستهدفة بالاسم، لكن أي تطبيق مصرفي أو محفظة رقمية من ضمن الـ217 معرّض للخطر. الحيطة مطلوبة بغض النظر عن البنك.

هل يكفي تفعيل Google Play Protect للحماية؟

Play Protect طبقة حماية مهمة، لكن Rokarolla تُعطّله فور الإصابة. الحماية الأفضل هي تجنّب تحميل ملفات APK من مصادر غير موثوقة أصلاً.

ℹ️

هل تحتاج مساعدة في التطبيق؟

إذا كنت تدير فريقاً تقنياً أو تطبيقاً مصرفياً وتحتاج تقييماً أمنياً لمخاطر البرمجيات الخبيثة على منصات الجوال، تواصل مع فريق Logicity للحصول على استشارة متخصصة.