فيروس Hirudo يستبدل تطبيق البنك على أندرويد ويسرق حسابك

تخيّل أن تفتح تطبيق البنك على هاتفك كالمعتاد، فتجد الأيقونة نفسها والشاشة نفسها واسمك مرحّبًا بك كما تعوّدت... لكن التطبيق الذي بين يديك لم يعد تطبيق بنكك أصلًا؛ فقد أُزيل الأصلي في غفلة منك وحلّت محلّه نسخة معدّلة تعمل لصالح مجرمين، تُظهر لك ما تتوقع رؤيته بينما تسرق بياناتك وتفتح هاتفك للتحكم عن بُعد. هذا ليس سيناريو من فيلم، بل هو بالضبط ما يفعله حصان طروادة مصرفي جديد اسمه Hirudo، كشفت عنه شركة ThreatFabric الهولندية المتخصصة في أمن الهواتف في تقرير مفصّل نُشر في 14 أكتوبر 2026. قد يبدو الخبر بعيدًا لأن النسخ المعدّلة الجاهزة اليوم تستهدف بنوكًا إندونيسية، لكن لا تستعجل الاطمئنان: فكود الفيروس يسمّي المغرب صراحة ضمن دول تستهدف بيانات اعتماد مؤسساتها المالية، وأدواته مصممة لتُعاد توجيهها إلى أي بنك وأي بلد. في هذا الدليل نشرح كيف يعمل Hirudo خطوة بخطوة، ولماذا يُعد استبدال التطبيق نفسه قفزة خطيرة في أساليب الاحتيال، وما العلامات التي يجب أن تنتبه لها، والأذونات التي عليك مراجعتها في هاتفك الآن قبل أن تقع في الفخ.

ما هو فيروس Hirudo؟

Hirudo برمجية خبيثة تعمل على هواتف أندرويد وتنتمي إلى فئتين في وقت واحد: فهو حصان طروادة مصرفي هدفه سرقة بيانات الدخول والحسابات المالية، وهو أيضًا أداة تحكم عن بُعد (RAT) تمنح مشغّليه سيطرة مباشرة على الهاتف المصاب. ورصده فريق استخبارات التهديدات في شركة ThreatFabric، وهي شركة هولندية متخصصة في رصد الاحتيال والبرمجيات المالية الخبيثة على الهواتف.

بحسب تحليل الشركة، يستطيع Hirudo بعد استقراره على الجهاز أن يسرق كلمات مرور الحسابات البنكية، وأرقام الدفع السرية (PIN)، وأسرار قفل الجهاز نفسه — بما فيها النمط وكلمة المرور — وأن يجمع رسائل SMS مع فحص أولي يغطي رسائل آخر 90 يومًا وقائمة مهيأة خصيصًا لمرسلي البنوك والمحافظ الإلكترونية، وأن يبثّ شاشة الهاتف مباشرة إلى المشغّلين عبر تقنية WebRTC، وأن يفتح الكاميرتين الأمامية والخلفية عن بُعد. أي أن المهاجم لا يكتفي بسرقة رقم سري، بل قد يجلس ويراقبك وأنت تستخدم هاتفك لحظة بلحظة.

أما نطاق الاستهداف فعلى طبقتين: الطبقة الأولى والأخطر هي ثمانية تطبيقات بنكية إندونيسية تخص سبعة بنوك، جهّز لها المشغّلون نسخًا بديلة معدّلة خصيصًا لكل بنك. والطبقة الثانية أوسع؛ إذ يحتفظ الفيروس بسجل يضم 42 تطبيقًا ماليًا، وتسمّي شيفرته مؤسسات مالية في إندونيسيا والصين والهند والمكسيك والمغرب وتايلاند كأهداف لسرقة بيانات الاعتماد، إلى جانب صفحة دفع مزيفة تحمل شعارات بنوك ومحافظ ماليزية ومترجمة إلى ثماني لغات. ووجد الباحثون في خادم خلفي مكشوف للمشغّلين — التُقطت بياناته في أغسطس 2026 — آلاف السجلات من بيانات الاعتماد وبيانات الأجهزة وسجلّات قفل الشاشة وملفات مالية تتضمن تقديرات للدخل الشهري ودرجات خطورة، بينما يظل العدد الحقيقي للضحايا غير معروف حتى الآن. باختصار: عملية منظمة بمكتب خلفي كامل لإدارة السرقة، لا هواة يجرّبون حظهم.

كيف تتم الإصابة خطوة بخطوة؟

لا يصل Hirudo إلى هاتفك دفعة واحدة، بل عبر سلسلة محسوبة من مرحلتين: تطبيق «طُعم» بريء المظهر يثبّت الفيروس، ثم الفيروس نفسه. إليك السلسلة كما وثّقها الباحثون:

تنزيل تطبيق الطُعم من خارج المتجر: يصل الضحية إلى تطبيق يبدو عاديًا وربما جذابًا — تطبيق تسوّق أو مشاهدة فيديو أو دراما قصيرة — عبر إعلان أو رابط، فيثبّته من خارج متجر جوجل بلاي.
التطبيق يعمل بصدق... ظاهريًا: يعرض الطُعم محتوى حقيقيًا داخل نافذة متصفح مدمجة: متجرًا فعليًا أو كتالوج فيديوهات أو حلقات دراما، فتبدو التجربة شرعية تمامًا. وفي الخلفية يجري التطبيق روتينًا ثابتًا: يجمع بيانات تتبع الحملات الإعلانية، ويجلب إعدادات حملته، ويفحص ما إذا كانت «الحمولة» — أي الفيروس نفسه — مثبتة أصلًا بالأذونات المطلوبة.
نافذة «التحديث» المزيفة: إذا لم يجد الفيروس، يعرض الطُعم تنبيهًا داخل التطبيق يفيد بوجود تحديث، ويعرض تثبيت الحمولة كتطبيق منفصل. هنا تُزرع البرمجية الحقيقية على هاتفك بضغطة منك.
منح الأذونات الخطيرة: يطلب الفيروس المثبّت حديثًا أذوناته الخاصة، وعلى رأسها خدمة إمكانية الوصول (Accessibility) والوصول إلى الإشعارات، وهي أذونات لا يحتاجها أي تطبيق تسوق أو دراما في الحقيقة. وذهب أحد تطبيقات الطُعم التي حلّلها الباحثون خطوة أبعد: أثناء تثبيت الحمولة ينشئ اتصال VPN وهميًا يقطع حركة الإنترنت عن الجهاز مؤقتًا، في محاولة لإضعاف فحوصات السمعة والتحليل التي تجري عبر الشبكة أثناء التثبيت.
بدء السرقة قبل لمس البنك: حتى قبل استهداف التطبيقات البنكية، يفتح الفيروس واجهات سرقة جاهزة: صفحة دفع مزيفة شفافة تنبثق فوق شاشة الطلب داخل تطبيق التسوق فتسرق رقم الدفع السري ثم تُظهر للضحية «نجاح» عملية وهمية، ونوافذ بأسماء بنوك ومحافظ تطلب كلمات مرور الدخول، وشاشة نمط قفل مزيفة بملء الشاشة تلتقط أول نمط ترسمه، بل رصد الباحثون في إحدى النسخ قراءة مباشرة لرقم PIN وكلمة المرور والنمط من شاشة القفل الحقيقية عبر إمكانية الوصول.
لحظة الاستبدال: عندما يرصد الفيروس تطبيقًا بنكيًا مستهدفًا مثبّتًا على الجهاز، يتحقق من شهادة توقيعه مقابل مرجع مخزّن، ثم يعرض تنبيه «تحديث» مزيفًا، ويفتح في الوقت نفسه أداة إلغاء تثبيت التطبيق الأصلي بينما ينزّل النسخة المعدّلة الخاصة بذلك البنك بالتوازي، ويستخدم إذن إمكانية الوصول لقيادة خطوات المثبّت نيابة عنك.
النسخة المعدّلة تستقر مكان الأصلية: بعد إتمام الاستبدال، يصبح «تطبيق البنك» على هاتفك نسخة مغشوشة تشبه الأصل في كل شيء تقريبًا، لكنها تحمل محركًا خفيًا يخدع فحوصات الأمان من الداخل، كما سنرى في القسم التالي.

نقطة مطمئنة نسبيًا وسط هذا كله: عملية الاستبدال هشّة ويمكن قطعها؛ فالفيروس يحتاج تعاون الضحية عند مواضع بعينها في نوافذ النظام — كما يؤكد باحثو ThreatFabric أن بوسع الضحية مقاطعة العملية في نقطتين — لأن النسخة المعدّلة موقّعة بمفتاح اختبار عام مكشوف وليس بمفتاح البنك، فيرفض أندرويد تثبيتها فوق الأصلية كتحديث عادي، ولا بد من إزالة الأصلية أولًا ثم اعتماد التثبيت الجديد. ولهذا بالذات تصبح العلامات التحذيرية في هذا المقال خط دفاعك الأول: لحظة أن ترى هاتفك يطلب حذف تطبيق البنك «لتحديثه»، فأنت على الأرجح أمام هذه العملية بعينها.

لماذا استبدال التطبيق أخطر من الشاشات المزيفة المعتادة؟

الجيل الأقدم من فيروسات البنوك كان يعتمد أسلوب «التراكب» (Overlay): يرسم شاشة تسجيل دخول مزيفة فوق تطبيق البنك الأصلي لحظة فتحه، فيكتب الضحية بياناته في الشاشة الغلط. هذا الأسلوب خطير، لكن له نقاط ضعف من وجهة نظر المهاجم: التطبيق الأصلي نفسه ما زال سليمًا ويجري فحوصاته الأمنية كاملة، فقد يرصد بيئة مشبوهة أو خدمة إمكانية وصول غريبة ويحذّر أو يرفض العمل، كما أن أنظمة الحماية تعلّمت رصد الشاشات المتراكبة.

Hirudo قلب الطاولة: بدلًا من خداع المستخدم بشاشة مزيفة، يخدع التطبيق نفسه من الداخل. فحين فكّك الباحثون إحدى النسخ المعدّلة وجدوا أن كود البنك الأصلي ظلّ كما هو تقريبًا، وأضيف إليه سطر واحد عند انطلاق التطبيق يحمّل «محرك تعليق» (Hooking Engine) مخفيًا مبنيًا على إطارَي عمل مفتوحَي المصدر معروفين هما YAHFA وDobby. ووظيفة هذا المحرك أن يعترض الأسئلة التي يطرحها التطبيق على نفسه وعلى النظام أثناء فحوصاته الأمنية، ويزوّدها بإجابات كاذبة مطمئنة. والمحرك نفسه لا ينشط إلا إذا وجد ملف تشغيل خاصًا يزرعه الفيروس على الجهاز، حتى تبقى النسخة المعدّلة صامتة وبريئة المظهر إن فُحصت وحدها دون الفيروس الأم.

ما الذي يزوّره المحرك بالضبط؟ بحسب تحليل ThreatFabric، أربعة فحوصات جوهرية:

شهادة التوقيع الرقمي: حين يسأل التطبيق النظام «هل أنا موقّع بمفتاح البنك الأصلي؟» يتدخل المحرك ويعرض الشهادة الأصلية الحقيقية، مُخفيًا أن النسخة المعدّلة موقّعة بمفتاح اختبار عام. فيظن التطبيق أنه النسخة الشرعية.
قائمة خدمات إمكانية الوصول: حين يفحص التطبيق الخدمات المفعّلة بحثًا عن خدمات مشبوهة تتحكم بالجهاز، يعيد المحرك قائمة فارغة؛ فتصبح خدمة الفيروس المتحكمة غير مرئية تمامًا.
حماية لقطات الشاشة (FLAG_SECURE): تطبيقات البنوك تمنع تصوير شاشاتها أو بثّها؛ المحرك ينزع هذه الحماية، فيصبح بإمكان المشغّل مشاهدة شاشتك وتسجيلها أثناء استخدامك «البنك» كأنك تعرضها عليه بنفسك.
فحص سلامة بلاي (Play Integrity) وشهادات إثبات المفتاح: يعيد المحرك تشكيل شهادات الإثبات باستخدام صندوق مفاتيح (Keybox) مُسرّب علنًا، ويمرّر طلبات فحص Play Integrity عبر خادم يسيطر عليه المهاجم ليعود الحكم «سليمًا» كما يريد.

وكما لخّص الباحثون الأمر: حين يعمل المحرك داخل عملية التطبيق نفسه، تنقلب دفاعات التطبيق ضده. فالفحص الذي كان يفترض أن يسأل «هل بيئتي آمنة؟» صار يتلقى إجابته من المهاجم نفسه. وهنا بالضبط تكمن الرسالة الأهم للبنوك، وهي ما أوصت به ThreatFabric: لا تعود الإشارات المنتَجة محليًا داخل التطبيق — التوقيع وقائمة إمكانية الوصول وحكم السلامة — جديرة بالثقة وحدها، ويجب التحقق منها من جهة الخادم وربطها بالجلسة والعمليات الحساسة. وللمفارقة، ترك المهاجمون ثغرة في خطتهم: صندوق المفاتيح الذي يستخدمونه مسرّب ومعروف، وقد أدرجت جوجل اثنتين من شهاداته في قائمة الإلغاء بوصفهما مخترقتين، ما يعني أن أي بنك يدقّق حالة الإلغاء من جهة خادمه يستطيع كشف التزوير والقبض على النسخة المعدّلة متلبسة.

تطبيقات الطُعم: إعلانات ميتا وصفحات «جوجل بلاي» المزيفة

النسخ المعدّلة لا تصل وحدها؛ بوّابتها هي تطبيقات الطُعم (Droppers) التي وثّقها التقرير بأسمائها: تطبيق تسوّق اسمه Shopora، وتطبيق فيديو للمحتوى الإباحي اسمه 1V1 X، وتطبيقا دراما قصيرة هما ZoyaTV وKoiShort. اختيار الأسماء والمجالات ليس عشوائيًا: تسوّق ودراما قصيرة وفيديوهات رائجة هي فئات تجذب ملايين المستخدمين وتدفعهم للتنزيل السريع من روابط الإعلانات دون تدقيق.

والأخطر أن الحملة تُدار ببنية إعلانية «احترافية» تحاكي تسويق التطبيقات الشرعية تمامًا: تُروَّج الطُعم عبر إعلانات على وسائل التواصل الاجتماعي — منها إعلانات على منصات ميتا — وتُستخدم أدوات تتبع وإسناد إعلاني حقيقية مثل OpenInstall ومعرّفات Meta Pixel لربط كل تنزيلة بحملتها، وتُستضاف ملفات التنزيل على شبكة Amazon CloudFront السحابية حتى تبدو الروابط موثوقة وسريعة. ووثّق الباحثون أيضًا صفحات ويب مزيفة تنتحل شكل صفحات متجر جوجل بلاي — منها صفحة مؤرشفة منذ يونيو 2026 تعرض زر تثبيت بأسلوب المتجر لتطبيق «1v1 vip» — ليطمئن الزائر القادم من الإعلان أنه أمام صفحة رسمية فيكمل التنزيل من خارج المتجر وهو مرتاح البال. ووجد فريق البحث كذلك لوحة تحكم مكشوفة بلا أي حماية يستخدمها المشغّلون لإعادة بناء الطُعم والنسخ المعدّلة للبنوك وتجهيزها للنشر، وبعض مسارات التنزيل كانت ما تزال نشطة حتى أكتوبر 2026. لاحظ أن التقارير لم تقل إن هذه التطبيقات وُزّعت عبر متجر بلاي نفسه؛ الدرس العملي أن وجود إعلان ممول وشكل احترافي وصفحة تشبه المتجر لا يعني أبدًا أن التطبيق آمن.

علامات تحذيرية قد تدل على أن تطبيق بنكك استُبدل

ضع هذه العلامات في ذهنك، فظهور أي منها يستحق التوقف فورًا والتحقق:

تطبيق تسوّق أو ترفيه طلب منك «تحديثًا» ثبّت تطبيقًا آخر منفصلًا بدلًا من تحديث نفسه، أو طلب أذونات لا علاقة لها بوظيفته.
أي تطبيق عادي طلب تفعيل خدمة إمكانية الوصول دون مبرر واضح ومقنع — هذه أخطر علامة على الإطلاق.
ظهرت لك نافذة نظام تطلب إلغاء تثبيت تطبيق البنك أو «تحديثه» في منتصف استخدامك تطبيقًا آخر، أو وصل «تحديث البنك» من خارج متجر بلاي.
اختفت أيقونة تطبيق البنك ثم عادت، أو طلب التطبيق تسجيل الدخول من جديد فجأة بعد «تحديث» غريب لم تره في المتجر.
لاحظت أيقونة VPN في شريط الحالة أو انقطاعًا مفاجئًا للإنترنت أثناء تثبيت تحديث مشبوه.
ظهرت شاشة قفل أو نمط فتح فوق التطبيقات في توقيت غير معتاد، أو طلب منك إدخال رقمك السري خارج سياقه الطبيعي.
رأيت حركات أو رسائل تحقق لا تتذكر أنك أجريتها؛ وهنا ننصحك بمراجعة دليلنا عن 7 علامات تدل على أن هاتفك قد يكون مخترقًا وكيف تتأكد بنفسك لفحص أشمل للجهاز.

أذونات يجب أن تراجعها في هاتفك الآن

لا تنتظر وقوع المشكلة؛ خصّص خمس دقائق الآن ومرّ على هذه المواضع في إعدادات أندرويد (قد تختلف الأسماء قليلًا بحسب واجهة هاتفك):

خدمات إمكانية الوصول المثبّتة: من الإعدادات ثم «إمكانية الوصول» ثم «الخدمات المثبّتة»، أوقف أي خدمة لا تعرفها أو تخص تطبيقًا لا يحتاجها بطبيعته. تطبيق تسوّق أو مشغّل فيديو يملك خدمة إمكانية وصول مفعّلة = إنذار أحمر.
تثبيت التطبيقات غير المعروفة: من الإعدادات ثم «التطبيقات» ثم «الوصول الخاص» ثم «تثبيت التطبيقات غير المعروفة»، واجعل الخيار «غير مسموح» لكل تطبيق، وبخاصة المتصفح وتطبيقات المراسلة ومعارض الفيديو.
ملفات تعريف VPN: من الإعدادات ثم «الشبكة والإنترنت» ثم «VPN»، احذف أي ملف تعريف لم تنشئه بنفسك أو لا يخص تطبيق VPN تعرفه وتثق به.
الوصول إلى الإشعارات: راجع التطبيقات المسموح لها بقراءة إشعاراتك؛ فالفيروس يحتاج هذا الإذن لالتقاط أكواد التحقق التي تصلك. اتركه فقط للتطبيقات التي تستحقه فعلًا.
تطبيقات مسؤول الجهاز: من إعدادات الأمان ثم «تطبيقات مسؤول الجهاز»، وتأكد أن القائمة لا تضم إلا التطبيقات النظامية أو الموثوقة التي تعرفها.
فحص Play Protect: افتح متجر بلاي ثم صورة حسابك ثم «Play Protect» وشغّل فحصًا كاملًا الآن، واجعله عادة دورية؛ فهو التوصية التي ختم بها التقرير نصائحه للمستخدمين إلى جانب تحديث النظام باستمرار.

كيف تحمي نفسك؟ خطوات عملية تسبق الخطر

ثبّت كل تطبيقاتك — المالية خاصة — من متجر جوجل بلاي فقط، ولا تثبّت ملف APK من رابط إعلان أو رسالة. وتذكّر أن جوجل بدأت تشديد قواعد التحقق من هوية المطورين للتطبيقات الموزعة من خارج المتاجر، كما شرحنا في دليلنا عن قواعد التحقق من المطورين وحظر تثبيت تطبيقات APK غير الموثقة؛ فكلما ابتعدت عن المصادر المجهولة قلّت فرص وصول الطُعم إليك أصلًا.
قاعدة ذهبية: البنك لا يُحدَّث من داخل تطبيق آخر. تحديث تطبيق البنك مكانه الوحيد هو صفحة التطبيق الرسمية في متجر بلاي. أي «تحديث» يأتي من تطبيق تسوّق أو دراما أو من متصفح هو عملية استبدال متنكرة حتى يثبت العكس.
لا توافق أبدًا على إلغاء تثبيت تطبيق البنك بناءً على مطالبة ظهرت أثناء استخدامك تطبيقًا آخر، وأغلق أي نافذة تطلب ذلك فورًا.
عامل إذن إمكانية الوصول كأنه مفتاح بيتك: لا تمنحه إلا لتطبيقات معروفة تحتاجه فعلًا (قارئات الشاشة مثلًا)، وارجع في ذلك إلى دليلنا حول أفضل إعدادات أندرويد التي يجب تغييرها فورًا لتحسين الخصوصية والأمان لضبط بقية إعدادات جهازك على الوضع الآمن.
حدّث نظام أندرويد وتطبيقاتك أولًا بأول، وفعّل التحديث التلقائي من المتجر؛ فكثير من سلاسل العدوى تستغل أجهزة قديمة مهملة.
شكّك في الإعلان الممول كما تشك في الرسالة المشبوهة: قبل تنزيل أي تطبيق تراه في إعلان، ابحث عن اسمه في متجر بلاي نفسه؛ فإن لم تجده هناك وكانت الطريق الوحيدة إليه رابط APK خارجيًا، فتلك إجابة كافية.
لا تدخل رموزك السرية في شاشات «دفع» تنبثق داخل تطبيقات ترفيهية، ولا ترسم نمط قفل هاتفك على أي شاشة تظهر فوق التطبيقات خارج لحظة فتح الجهاز المعتادة.

ماذا تفعل إذا اشتبهت في إصابة هاتفك؟

التصرف السريع الهادئ يصنع الفرق كله. إذا لاحظت علامة أو أكثر مما سبق، نفّذ التالي بالترتيب:

اقطع الاتصال فورًا: فعّل وضع الطيران وأوقف الواي فاي وبيانات الهاتف؛ فقطع الشبكة يوقف بث الشاشة وتسريب البيانات والتحكم عن بُعد.
لا تدخل أي بيانات بنكية من هذا الهاتف، واتصل ببنكك من هاتف آخر نظيف واشرح الاشتباه، واطلب مراقبة الحساب أو تجميد العمليات مؤقتًا ورفع مستوى التحقق.
أزل التطبيقات المشبوهة: احذف تطبيق الطُعم وأي تطبيق غريب ثُبّت مؤخرًا، ثم أعد تثبيت تطبيق البنك من صفحته الرسمية في متجر بلاي حصرًا — ولا تثق بالنسخة الموجودة على الجهاز مهما بدت طبيعية.
غيّر كلمات المرور من جهاز نظيف: البنوك أولًا ثم البريد والحسابات المرتبطة، وطبّق ما ورد في دليلنا عن كلمات المرور القوية ومديرو كلمات المرور حتى لا تعيد استخدام كلمة قد تكون سُرقت.
غيّر رمز قفل الهاتف نفسه (النمط أو PIN أو كلمة المرور)؛ فقد بيّن التحليل أن الفيروس يلتقط أسرار القفل، وبقاؤها كما هي يترك بابًا مفتوحًا.
راجع رسائلك وحركات حسابك عن الفترة الماضية بحثًا عن أكواد تحقق أو عمليات لا تعرفها، وبلّغ البنك بأي حركة مشبوهة فورًا.
في الحالات الشديدة، وبعد أخذ نسخة احتياطية من صورك وملفاتك الشخصية فقط (دون استعادة التطبيقات)، الجأ إلى إعادة ضبط المصنع ثم إعادة بناء جهازك من المتجر الرسمي تطبيقًا تطبيقًا.

الأسئلة الشائعة

هل وصل فيروس Hirudo إلى مصر؟

لا يوجد دليل على استهداف بنوك مصرية حتى الآن؛ فالنسخ المعدّلة الجاهزة التي رصدها الباحثون تخص بنوكًا إندونيسية، وقائمة أهداف سرقة بيانات الاعتماد في كود الفيروس تشمل إندونيسيا والصين والهند والمكسيك والمغرب وتايلاند. لكن محرك الاستبدال نفسه قابل لإعادة التوجيه إلى تطبيقات ودول أخرى كما نبّه الباحثون، فالدرس وقائي بامتياز: الأسلوب وصل، ولا ينتظر إلا من يقرر استخدامه ضد بنوك منطقتنا.

هل يعني هذا أن تطبيقات متجر جوجل بلاي غير آمنة؟

لا؛ فالتقارير لم تقل إن تطبيقات الطُعم وُزّعت عبر متجر بلاي، بل عبر روابط وإعلانات خارجية وملفات APK مستضافة على خوادم سحابية وصفحات مزيفة تحاكي شكل المتجر. القاعدة العملية: التنزيل من داخل المتجر الرسمي نفسه، لا من صفحة «تشبهه» وصلت إليها من إعلان.

لماذا لم يكتشف تطبيق البنك نفسه التزوير؟

لأن فحوصات الأمان التقليدية تُجرى داخل التطبيق وتسأل الجهاز أسئلة مثل «ما شهادة توقيعي؟» و«ما خدمات إمكانية الوصول المفعّلة؟»، والنسخة المعدّلة تحمل محركًا يزوّر الإجابات من الداخل. لهذا أوصى الباحثون البنوك بنقل التحقق الحاسم إلى خوادمها وربطه بالجلسة وبالعمليات الحساسة، لا الاكتفاء بما يقوله التطبيق عن نفسه.

هل يكفي حذف تطبيق الطُعم للتخلص من الخطر؟

لا يكفي بالضرورة؛ فالحمولة تُثبَّت كتطبيق منفصل له أذوناته الخاصة، وتطبيق البنك ذاته قد يكون استُبدل. الحذف خطوة أولى، لكن اكتمال التنظيف يتطلب إزالة أي تطبيق مشبوه، وإعادة تثبيت البنك من المتجر الرسمي، وتغيير كلمات المرور ورمز القفل من جهاز نظيف، ومراقبة الحساب.

ما أخطر إذن يجب أن أحذره تحديدًا؟

إذن إمكانية الوصول؛ فهو مفتاح السلسلة كلها تقريبًا: به يقود الفيروس خطوات إلغاء التثبيت والتثبيت، ويقرأ الشاشات وأسرار القفل، ويتحكم بالجهاز. أي تطبيق ترفيهي أو تسويقي يطلبه يجب أن يُرفض طلبه فورًا ويُحذف التطبيق نفسه.

الخلاصة

Hirudo ليس مجرد فيروس بنكي آخر؛ إنه إشارة إلى تطور مقلق في قواعد اللعبة: لم يعد المهاجم يكتفي بخداعك أنت، بل صار يستبدل التطبيق الذي تثق به ويخدع التطبيق نفسه من الداخل، بأدوات إعلانية وخوادم سحابية وعمليات سرقة منظمة تقف خلفها إدارة كاملة للبيانات المسروقة. لكن انتصاره ليس حتميًا؛ فسلسلته كلها تنهار أمام مستخدم يقظ عند ثلاث لحظات: حين يرفض تثبيت تطبيق من رابط إعلان، وحين يرفض منح إمكانية الوصول لتطبيق ترفيهي، وحين يرفض — مهما بدا الطلب مقنعًا — أن يُلغى تثبيت تطبيق بنكه «من أجل تحديث». احفظ هذه اللحظات الثلاث، وشارك التحذير مع من يهمّك أمرهم؛ فالحماية الحقيقية تبدأ قبل أن يصل الطُعم إلى الهاتف أصلًا.

المصادر: تقرير شركة ThreatFabric البحثي «Hirudo: From Fake Updates to Patched Banking Apps» (14 أكتوبر 2026)، وتغطية موقع BleepingComputer «Hirudo Android malware replaces banking apps to evade security checks» (14 أكتوبر 2026).