اكتشفت شركة الأمن السيبراني Check Point وجود برمجيات خبيثة أطلقت عليها اسم "الدليل الزائف" FalseGuide مخبأ ضمن أكثر من 40 تطبيق من تطبيقات الدليل المخصصة للعديد من الألعاب الإلكترونية ذات الشعبية بما في ذلك بوكيمون جو Pokémon GO وفيفا FIFA، وقد تم تحميل أقدم هذه التطبيقات، التي تندرج تحت فئة الدليل، إلى متجر غوغل بلاي في 14 فبراير/شباط من هذا العام.

ويقدر عدد المستخدمين الذين قاموا بتحميل برمجيات ضارة من متجر غوغل بلاي، وهو المتجر الرسمي لمستخدمي أجهزة أندرويد، بحوالي 600 ألف مستخدم، وتحاول تلك البرمجيات بناء شبكة بوت نيت botnet التي توفر أدوات الاحتيال والتجسس وكسب المال لمجرمي الإنترنت الذين قاموا بتطويرها.

وقد جرى تحميل العديد من هذه التطبيقات أكثر من 50 ألف مرة، ويعتقد أن حوالي 600 ألف من مستخدمي أندرويد قد قاموا عن طريق الخطأ بتحميل تلك البرمجيات الخبيثة عند بحثهم عن تطبيقات دليل ومساعدة للألعاب ذات الشعبية، ولا تعد هذه البرمجيات الخبيثة الأولى التي تصيب متجر غوغل بلاي إلا انها الأحدث التي تم اكتشافها تحاول خلق شبكة botnet عبر أندرويد مثلما فعلت برمجيات DressCode وViking Horde.

وقد بنيت شبكة بوت نت FalseGuide من أجل توفير أدوات الاحتيال والتجسس، بحيث انها تعمل على تحميل وعرض الإعلانات المنبثقة غير المشروعة بهدف توفير الإيرادات لمطوري البرمجية من خلال عرض الإعلانات وعدد النقرات.

وتطلب برمجية FalseGuide، عند تحمليها على الجهاز، الحصول على صلاحيات المسؤول عن الجهاز، والذي تستخدمه البرمجية الخبيثة لضمان أنه لا يمكن للمستخدم حذف التطبيق، ويمكن لهذه النوعية من البرمجيات الضارة التسلل إلى متجر غوغل بلاي تبعاً لأن الطبيعة الخبيثة للتطبيق مخفية.

وتعود تلك الطبيعة الخبيثة للظهور بمجرد تنزيل التطبيق وقيام المستخدم بإعطاء الأذونات المطلوبة للتطبيق لتنفيذ التعليمات الضارة، حيث تعمل بعد التثبيت على تسجيل نفسها ضمن خدمة تراسل Firebase السحابية، وهي خدمة متعددة المنصات تسمح للمطورين بإرسال التنبيهات والرسائل، عبر موضوع يحمل نفس اسم التطبيق مثل "Guide for Pokemon Go".

ويمكن لبرمجية FalseGuide وعبر استعمالها لخدمة Firebase الحصول على نماذج إضافية وتحمليها على الجهاز المصاب، وتعمل البرمجية على عرض إعلانات منبثقة بمضمون خارج السياق من خلال استعمال خدمة خلفية تبدأ بالعمل عن تشغيل الجهاز المصاب.

كما يمكن لمطوري البرمجية تزويدها بنماذج تعليمات إضافية من خلال خادم التحكم والسيطرة، بحيث يمكن إعطاء الأوامر لشبكة البوت نت بالحصول على صلاحيات المستخدم الجذر على الجهاز وإجراء هجوم الحرمان من الخدمة DDos أو التسلل إلى الشبكات الخاصة.

ويعتقد أن التطبيقات الخبيثة ذات أصل روسي، وذلك لأنه جرى توفيرها تحت أسماء روسية لمطورين وهميين هما سيرجي فيرنيك ونيكولاي زالوبكين، وقد اختار مطورو البرمجيات الضارة استغلال تطبيقات الدليل الخاصة بالألعاب كون الألعاب ذات شعبية وأن التطبيقات لا تتطلب الكثير من حيث الميزات أو التطوير.

وأبلغت Check Point شركة غوغل عن البرامج الضارة في شهر فبراير/شباط، بحيث تم إزالة تلك البرامج بسرعة من متجر غوغل بلاي، إلا أن من يقف خلف تلك البرمجيات الضارة قاموا بتحميل المزيد من التطبيقات في بداية شهر أبريل/نيسان، والتي تم إزالتها مرة أخرى بعد تلقي غوغل تنبيه من Check Point.