لا يعني ToxicPanda 2.0 أن كل هاتف Android أصبح سبباً للذعر. لكنه يذكّر بأن صلاحيات النظام أصبحت جزءاً أساسياً من أمن الهاتف. تصف أبحاث Zimperium zLabs وتغطيات BleepingComputer وMalwarebytes وDark Reading وTechRadar حصاناً طروادة مصرفياً لا يحتاج إلى استغلال مذهل في نظام Android. قوته تأتي من إقناع المستخدم بتثبيت تطبيق خارج Google Play ثم منحه صلاحيات شرعية لكنها قوية: خدمة VPN، وAccessibility، وفي بعض السلاسل Wireless Debugging عبر Android Debug Bridge.

هاتف Android عام مع رموز تحذير VPN وAccessibility وdebugging

لهذا يستحق الموضوع شرحاً هادئاً. طلب VPN قد يكون طبيعياً من تطبيق خصوصية موثوق. Accessibility ضرورية للمساعدة وإتاحة الاستخدام. Developer Options وADB أدوات عادية للمطورين. لكن ToxicPanda 2.0 يوضح الوجه الآخر لهذا النموذج: إذا حصل تطبيق خبيث على هذه الموافقات، يمكن أن يتحول الهاتف إلى منصة احتيال تبدو مألوفة للبنوك والمحافظ وأنظمة الهوية.

ما الذي تغيّر

أعلنت Zimperium عن ToxicPanda 2.0 في 19 أغسطس 2026، ثم توسعت التغطية في 24 أغسطس. الأرقام المنشورة مهمة: 349 تطبيقاً مستهدفاً بين بنوك ومحافظ إلكترونية وتطبيقات مالية وتشفير في 16 دولة؛ 167 أمراً عن بعد؛ ووحدة مخصصة لالتقاط PIN أو أسرار في 140 تطبيقاً مالياً وتطبيقات تشفير. هذا لا يعني أن كل مستخدم مصاب، لكنه يظهر أن المشغلين بنوا منصة مرنة.

التغيير لا يتعلق بالحجم فقط. أبرزت BleepingComputer إساءة استخدام Android VPN Service permission. يستطيع ToxicPanda 2.0 إنشاء طبقة محلية للتحكم في المرور واستخدامها للتأثير في الاتصال مع Google Play وGoogle Play Services. بذلك قد تضعف الفحوصات والتحديثات وإشارات Play Protect. بعد ذلك يعتمد على Accessibility ويحاول أتمتة الطريق إلى Wireless Debugging وتحكم محلي عبر ADB.

الدرس العملي واضح: سلسلة الهجوم مبنية من وظائف لها استخدامات شرعية. هذا لا يجعل تلك الوظائف سيئة. لكنه يعني أن تحذير Android ليس شاشة شكلية. عندما يطلب تطبيق مجهول أن يصبح VPN، أو يتحكم في Accessibility، أو يصبح Device Administrator، أو يغير إعدادات المطور، فهو يطلب الدخول إلى منطقة الثقة في الهاتف.

كيف تبدأ الإصابة

تشير التقارير العامة إلى توزيع خارج Google Play، بما في ذلك مواقع مستضافة على AWS. هذه نقطة مهمة في النبرة: لا نقول إن Google Play نفسه كان المصدر. النصيحة الدفاعية القديمة ما زالت الأهم: لا تثبت ملفات APK من روابط أو إعلانات أو محادثات أو دعم مزيف أو مجموعات استثمار أو تحديثات عاجلة.

بعد التثبيت قد يعرض التطبيق مسار إعداد أو تحديث مزيفاً. يرى المستخدم طلبات تبدو طبيعية: السماح بـ VPN، تفعيل وصول خاص، إكمال الإعداد. إذا وافق، يبدأ التطبيق في تشكيل بيئة الهاتف لصالحه. طبقة VPN قد تعيق خدمات Google، وAccessibility قد ترى الشاشة وتؤتمت الضغطات، وWireless Debugging مع ADB قد يفتحان طريقاً لتحكم أعمق إذا خُدع المستخدم.

هذا ليس دليلاً هجومياً، بل تفسير دفاعي: يحول الحصان الطروادة قدرات وافق عليها المستخدم إلى سلسلة سيطرة. بعد إصابة جدية قد لا يكفي حذف أيقونة مشبوهة. يجب معرفة الصلاحيات الممنوحة، والجلسات المفتوحة، وما إذا كان الجهاز ما زال صالحاً للبنوك أو المصادقة.

لماذا VPN وAccessibility مهمان

يحتاج تطبيق VPN شرعي إلى VPNService لتوجيه المرور أو تصفيته أو تطبيق قواعد الخصوصية. لهذا السبب بالذات تكون الصلاحية قوية. تطبيق مجهول يطلب VPN لا يطلب مجرد إشعار؛ إنه يطلب موقعاً بين التطبيقات والشبكة. في تقارير ToxicPanda 2.0 يُستخدم هذا الموقع للتأثير في Google Play وGoogle Play Services.

Accessibility وظيفة أساسية أيضاً. فهي تدعم قارئات الشاشة والمساعدة والأتمتة الشرعية. لكن إذا استطاع malware رؤية الواجهة وتنفيذ النقرات، فيمكنه عبور شاشات الموافقة والطبقات العائمة ومسارات التطبيقات المصرفية. لا يوجد سبب طبيعي لتطبيق مصباح أو مشغل وسائط أو تتبع شحنة أو نصائح استثمارية كي يتحكم في Accessibility.

بالنسبة للمؤسسات، يجب أن تكون هذه الحالات مرئية. هاتف BYOD عليه خدمة Accessibility جديدة وملف VPN جديد وDeveloper Options مفعّلة ليس خطراً شخصياً فقط. قد يكون الجهاز نفسه مستخدماً في push MFA وpasskeys والبريد والعمل والموافقات الداخلية.

احتيال من الجهاز نفسه

تسأل أنظمة مكافحة الاحتيال غالباً هل يأتي الدخول من جهاز ومنطقة وتطبيق وسلوك مألوفين. on-device fraud يهاجم هذه الافتراضات. إذا عمل المهاجم من هاتف الضحية نفسه، قد يرى البنك جهازاً معروفاً وجلسات قائمة وسياق شبكة مألوفاً وحركات داخل التطبيق الشرعي.

هذا لا يجعل مكافحة الاحتيال بلا قيمة. لكنه يعني أن سلامة الجهاز وحالة الصلاحيات يجب أن تكون جزءاً من القرار. هاتف ثبّت APK مجهولاً، ومنح Accessibility، وأنشأ VPN، وغيّر إعدادات المطور، لا ينبغي أن يحصل على الثقة نفسها لمجرد أن معرف الجهاز مألوف.

ينطبق الأمر نفسه على passkeys وpush MFA. إنها ترفع الأمان إذا كان جهاز المصادقة موثوقاً. إذا كان هذا الجهاز مصاباً، فقد يصبح مرساة هوية للهجوم. لذلك ToxicPanda 2.0 قصة عن البنوك المحمولة وعن وصول الشركات أيضاً.

ما الذي ينبغي فعله

على المستخدمين تثبيت التطبيقات من Google Play أو من الموقع الرسمي للمورّد، لا من الروابط والإعلانات. ملفات APK الخاصة بالتمويل أو المحافظ أو التوصيل أو الدعم أو الأمن خارج المتجر تستحق شكاً خاصاً. لا ينبغي قبول VPN أو Accessibility أو Device Administrator أو Developer Options أو Wireless Debugging إلا إذا كان ذلك منطقياً تماماً مع وظيفة التطبيق.

ينبغي مراجعة ملفات VPN غير المعروفة، وخدمات Accessibility، ومديري الجهاز، وإعدادات المطور. يجب أن يكون Wireless Debugging مغلقاً ما لم يكن المستخدم يطوّر فعلاً ويعرف السبب. عند الشك، افصل الشبكة، واستخدم جهازاً موثوقاً آخر للتواصل مع البنك، وغيّر كلمات المرور، وألغ الجلسات، واحذف التطبيق في الوضع الآمن إن أمكن.

على المؤسسات تقييد sideloading، ومراقبة تغييرات VPN وAccessibility، والتحكم في Developer Options، وربط التطبيقات الحساسة بحالة الجهاز. يجب شرح قواعد BYOD بلغة واضحة: الصلاحيات القوية تغيّر مستوى الثقة في الهاتف.

الخلاصة

خطورة ToxicPanda 2.0 أنه يسيء استخدام الثقة، لا أنه يثبت أن Android مكسور. السلسلة ما زالت تعتمد على الهندسة الاجتماعية والتثبيت خارج المتجر وصلاحيات قوية. هذا يترك نقاطاً حقيقية لكسر الهجوم. في 2026، طلب الصلاحية قرار أمني.