Araştırmacılar, Hirudo adlı yeni bir Android kötü amaçlı yazılımının cihazdaki orijinal bankacılık uygulamalarını değiştirilmiş sürümlerle değiştirerek bankacılık hizmeti kullanıcılarını hedef aldığını keşfetti. Mobil cihaz güvenliği şirketi ThreatFabric'in raporuna göre yazılım, uygulama imzalarını, erişilebilirlik hizmetlerini ve Play Integrity kontrollerini aşmak amacıyla kod enjeksiyonu için bir motor kullanıyor.
Endonezya'daki en az yedi bankaya ait uygulamalar da dahil olmak üzere sekiz bankacılık uygulamasının kötü amaçlı sürümleri tespit edildi. Kampanya ayrıca Çin, Hindistan, Meksika, Fas ve Tayland'daki finans kuruluşlarını hedef aldı; mağdurların sayısı ise henüz bilinmiyor.
Hirudo cihazlara nasıl ulaşıyor?
Yazılım genellikle Shopora, 1V1 X, ZoyaTV ve KoiShort gibi alışveriş veya eğlence içeriği işlevleri sunan, normal görünen uygulamalar aracılığıyla ulaşıyor. Bu uygulamalar yazılım için indirici görevi görüyor ve ardından kullanıcıyı aralarında Accessibility izninin de bulunduğu ek izinleri vermeye yönlendiren sahte bir güncelleme bildirimi gösteriyor.
İzin etkinleştirildikten sonra kötü amaçlı uygulama gerçek bankacılık uygulamasını kaldırmaya, ardından değiştirilmiş bir sürümünü indirmeye ve yüklemeye çalışıyor. ThreatFabric, kullanıcının işlemi iki aşamada kesintiye uğratabilmesi nedeniyle süreci saldırgan açısından riskli olarak nitelendiriyor.
Koruma mekanizmalarını aşma aracına dönüştürme
Değiştirilmiş sürüm, bankacılık uygulamasının orijinal kodunun büyük bölümünü koruyor, ancak açık kaynaklı YAHFA ve Dobby çerçevelerini temel alan bir motor ekliyor. Motor, bankacılık uygulamasının kendi süreci içinde çalışıyor; bu da uygulamaya dışarıdan saldırmak yerine kontrollerin sonuçlarını manipüle etmesine olanak tanıyor.
- Sorulduğunda orijinal imza sertifikasını değiştirmek.
- Etkinleştirilmiş Accessibility hizmetlerini gizlemek.
- Ekran görüntüsü korumasını devre dışı bırakmak; böylece ekranın uzaktan görüntülenmesine ve kaydedilmesine izin vermek.
- Anahtarlarla ilişkili tasdik sertifikalarını değiştirmek ve Play Integrity isteklerini operatörlerin kontrol ettiği bir sunucu üzerinden geçirmek.
Saldırganlar neleri çalabilir?
Hirudo, bankacılık hesabı parolalarını, gizli ödeme kodlarını, cihaz kilidini açma sırlarını ve SMS mesajlarını çalabiliyor; ayrıca telefon ekranını yayınlayabiliyor ve her iki kamerayı kontrol edebiliyor. Yazılım, ödeme kodlarını toplamak için sahte ödeme sayfaları da kullanıyor, ardından veri hırsızlığını gizlemek amacıyla sahte bir başarı sonucu gösteriyor.
ThreatFabric, güvenliği sağlanmamış bir arka uç panelinde uygulama kimlik bilgilerini içeren binlerce kayıt buldu; bu kayıtlara cihaz verileri, kilit ekranları ve finansal dosyalar da dahildi. Raporda bu verilerin tüm mağdurlara mı yoksa mağdurların bir bölümüne mi ait olduğu belirtilmiyor.
Sınırlamalar neler ve ne yapılmalı?
Aşma yöntemleri sınırsız şekilde çalışmıyor. Gömülü tasdik anahtarı herkese açık biçimde sızmış olabilir; Google da bu anahtarla ilişkili iki sertifikayı ele geçirilmiş sertifikalar arasına ekledi. Bu durum, sunucu tarafında sertifika iptali kontrolleri gerçekleştirildiğinde sunucuların sahtecilik işlemlerini tespit etmesine olanak tanıyor.
ThreatFabric, Hirudo'nun Android'deki bankacılık hesabı hırsızlığı yazılımlarının yöntemlerinde bir tırmanışı temsil ettiğini düşünüyor; çünkü yazılım doğrudan uygulamaların içindeki koruma mekanizmalarını hedef alıyor. Şirket, bankaların bütünlük doğrulamasını ve tasdiki sunucu tarafında gerçekleştirmesini, kontrolleri oturumlara ve hassas işlemlere bağlamasını ve davranış ile işlem riski kontrollerini sürdürmesini öneriyor.
Kullanıcıların ise cihazlarını güncellemeleri, resmi olmayan mağazalardan APK dosyaları indirmekten kaçınmaları ve Play Protect kullanarak düzenli taramalar yapmaları öneriliyor.