ThreatFabric araştırmacıları, Hirudo adlı yeni bir Android kötü amaçlı yazılımı keşfetti. Bu yazılım, geleneksel bir bankacılık truva atının işlevlerini tam kapsamlı bir uzaktan erişim aracının yetenekleriyle birleştiriyor. Yazılım şu anda Endonezya’daki sekiz bankacılık uygulamasını hedefliyor; ayrıca Çin, Hindistan, Meksika, Fas ve Tayland’daki bankaları hedefleyecek şekilde uyarlanabileceğine dair dahili göstergeler bulunuyor.
Hirudo cihazdaki giriş bilgilerini çalmakla kalmıyor; saldırgana WebRTC üzerinden ekranı canlı izleme, erişilebilirlik hizmetleri aracılığıyla telefonu kontrol etme ve ön ve arka kameralara erişme olanağı da sağlıyor. Ayrıca kısa mesajları topluyor; buna 90 güne kadar uzanan ilk tarama ve bankalar ile cüzdanlardan belirli gönderenlerin listesi de dahil.
Yazılım telefona nasıl ulaşıyor?
Hirudo, alışveriş, yetişkin videoları izleme veya kısa drama uygulaması gibi özgün görünen uygulamaların içine gömülmüş bir dropper aracılığıyla dağıtılıyor ve sosyal medya üzerinden tanıtılıyor. Uygulama yüklendikten sonra dropper, cihazda Hirudo’nun bulunup bulunmadığını kontrol ediyor; bulunmuyorsa kötü amaçlı yükü kuruyor.
Belirli bir Endonezya bankacılık uygulaması tespit edildiğinde yazılım sahte bir güncelleme istemi gösteriyor, ardından gerçek uygulamayı kaldırıp hedef bankayla ilişkilendirilmiş değiştirilmiş bir sürümünü indiriyor. Böylece kullanıcı alışık olduğu bankacılık uygulamasıyla işlem yaptığını düşünürken sahte sürüm hırsızlık ve kontrol arayüzü olarak çalışıyor.
Uygulama içindeki güvenlik kontrollerini atlatma
Değiştirilmiş sürüm, uygulama çağrılarını engelleyen bir motor içeriyor. Bu motor, dijital imza kontrollerini, erişilebilirlik hizmetlerini, ekran yakalamayı ve Play Integrity kontrollerini doğrudan uygulamanın içinden devre dışı bırakmayı amaçlıyor. Araştırmacılara göre motor, Android’in talep ettiği imza sertifikasını özgün sertifikayla değiştirebiliyor ve test imzasını gizleyebiliyor. Ayrıca erişilebilirlik hizmetleri sorgulandığında boş bir liste döndürüyor; böylece saldırganın hizmeti denetim açısından görünmez hale geliyor.
Bu yöntemin önemi, mücadelenin cihaz kontrollerinden, değiştirilen uygulamanın kendi bütünlük mekanizmalarına taşınmasında yatıyor. Bu nedenle değiştirilmiş bir uygulamanın ürettiği sinyaller tek başına güvenilir kabul edilemez. Ayrıca motorun yeniden kullanılabilir olması, saldırının başka uygulamalara ve bölgelere yöneltilmesini kolaylaştırabilir.
Finans kuruluşları neleri gözden geçirmeli?
- Play Integrity’yi doğrulamak ve sonuçlarını sunucu tarafında zorunlu kılmak; ancak doğru sonucu tek başına yeterli kanıt olarak kabul etmemek gerekir, çünkü Hirudo doğrulama isteklerini kendi sunucusu üzerinden iletebilir.
- Sahtekârlık kalıplarını tespit etmek için çok katmanlı davranış analizleri kullanmak ve davranış verilerinin yokluğunu incelenmeye değer bir sinyal olarak ele almak.
- Erişilebilirlik ve ekran yakalama sinyallerini tek başına engelleme koşulları değil, destekleyici kanıtlar olarak değerlendirmek ve bunları risk hesaplamasına dahil etmek.
- Oturum açma, kimlik bilgilerini kurtarma, lehtar oluşturma ve ödeme onayı aşamalarındaki işlem riski kontrollerini sürdürmek; çünkü sahte bir yerel sonuç sunucu kararının yerini alamaz.
Kuruluşlar için pratik uyarı şudur: Kötü amaçlı yazılım uygulamanın kendisini değiştirebildiğinde ve kontrol bileşenlerini gizleyebildiğinde, uygulama içindeki tek bir kontrole güvenmek artık yeterli değildir. Hirudo’nun operatörleri ve enfeksiyonların boyutuna ilişkin mevcut ayrıntılar kaynak materyalde yer almıyor; bu da kampanyanın gerçek kapsamının tahmin edilmesini sınırlıyor.