Mobil cihaz güvenliği şirketi ThreatFabric, en az Şubat 2026'dan beri aktif olan ve çeşitli Avrupa ülkelerindeki kullanıcıları hedef alan Manic adlı yeni bir Android kötü amaçlı yazılımı tespit etti. Yazılım, Ukrayna'daki bankacılık, devlet ve dijital kimlik uygulamalarına açıkça odaklanıyor. Kötü amaçlı yazılım casusluk, bankacılık dolandırıcılığı ve uzaktan kontrol özelliklerini birleştirirken yapısında, hedef cihazın yakınında bulunan enfekte cihazlar üzerinden veri kaçırmaya yönelik alışılmadık bir mekanizma da bulunuyor.
Manic; bankacılık ve devlet hizmetlerini, ödeme uygulamalarını, kripto para cüzdanlarını, mesajlaşma platformlarını ve iki faktörlü kimlik doğrulama uygulamalarını içeren en az 169 uygulamayı hedef alıyor. Araştırmacılar ayrıca dünya genelindeki finansal teknoloji ve kripto para hizmetlerinin yanı sıra Orta ve Batı Avrupa'da, Birleşik Krallık'ta ve Rusya'da kullanılan uygulamaların da hedef alındığını gözlemledi.
Manic kurbanların verilerini nasıl topluyor?
Erişilebilirlik hizmeti ve bildirim erişimi izinlerini aldıktan sonra kötü amaçlı yazılım, cihazın kilit açma kodunu veya parolasını yakalayabiliyor; bildirimleri ve kısa mesajları okuyabiliyor; dosyaları ve konum verilerini toplayabiliyor; ekranı izleyebiliyor. Ayrıca operatörlere WebRTC oturumları üzerinden uzaktan kontrol imkânı sağlıyor.
Manic, kullanıcının dokunuşlarını yakalamak ve bunları Android Accessibility üzerinden yeniden uygulamak için meşru uygulamaların içindeki dijital klavyelerin üzerine şeffaf katmanlar yerleştiriyor. Böylece yerel uygulama normal şekilde çalışmaya devam edebiliyor. ThreatFabric bu özelliği «kullanıcı arayüzü tuş kaydedicisi» olarak tanımlıyor. Kötü amaçlı yazılım, yakaladığı metinleri depolamadan önce sınıflandırarak kilit ekranı girdilerini, cüzdan kurtarma ifadeleri olabilecek metinleri, dört ila altı basamaktan oluşan SMS kodlarını, parolaları, e-posta giriş bilgilerini, uzun mesajları ve normal metinleri ayırt ediyor.
Veri kaçırma mekanizmasını farklı kılan nedir?
Enfekte cihaz komuta ve kontrol sunucusuna erişemediğinde Manic, verileri şifreleyerek Wi‑Fi Direct veya Bluetooth kullanan yakındaki enfekte cihazlar üzerinden aktarıyor. Kötü amaçlı yazılım önce mevcut bir Wi‑Fi Direct eşini kullanmayı deniyor, ardından Bluetooth veya BLE kullanan yakındaki cihazlara internete bağlı olup olmadıklarını öğrenmek için sorgu gönderiyor.
Mekanizma birden fazla atlama yolunu destekliyor ve yeni öğeler varsayılan olarak en fazla dört aktarım aşamasıyla sınırlandırılıyor. Pratikte bu, internet bağlantısı olmayan bir cihazın Wi‑Fi veya Bluetooth kapsama alanında başka bir enfekte cihaz bulunması hâlinde çalınan verileri göndermeye devam edebileceği anlamına geliyor. Böylece bilgilerin kötü amaçlı yazılım operatörlerine ulaşma olasılığı artıyor.
Saldırı altyapısının gelişimi
ThreatFabric, ilk bulaşma yöntemini henüz kesin olarak belirleyemedi. Ancak şirket, mayıs ayının sonlarında ana yükü kurbanlara ileten bir yazılım sarmalayıcısının kullanıldığını gözlemledi; bunu takip eden aylarda altyapı genişletildi. Temmuz ayında sarmalayıcının, analize karşı daha güçlü korumalar ve belleğe DEX biçiminde yürütülebilir dosya yükleme özelliği içeren güncellenmiş bir sürümü ortaya çıktı. Buna ek olarak yeni bir kontrol paneli ve API de kullanıma sunuldu.
Android kullanıcıları ne yapmalı?
Belirsiz kaynaklardan veya resmî olmayan portallardan APK dosyaları indirmekten kaçınılmalı ve Accessibility izni yalnızca gerçekten ihtiyaç duyan güvenilir bir uygulamaya verilmelidir. Bilinen kötü amaçlı yazılımları tespit edip kaldırmak için Play Protect taramalarının düzenli olarak çalıştırılması da önerilir.