Android’de Yeni Zararlı Yazılım: Sistemi Aşarak Sızıyor!

Manic, bankacılık dolandırıcılığını casus yazılımla birleştiriyor

Hollandalı siber güvenlik şirketi ThreatFabric, 20 Ağustos’ta daha önce belgelenmemiş bir Android tehdidi hakkında bir rapor yayımladı. Bu kötü amaçlı yazılım, Manic adını taşıyor ve genellikle ayrı olarak görülen iki tür tehlikeyi birleştiriyor: mali hırsızlık için tasarlanmış bir bankacılık truva atı ve gizlice izlemek için geliştirilmiş casus yazılım. Virüs esasen Ukrayna’yı hedef alıyor. Bu tehditin hedefleri arasında Almanya, Polonya, Çek Cumhuriyeti, Slovakya, Avusturya, Fransa, İspanya, Hollanda, Estonya, Litvanya ve Birleşik Krallık’taki bankalar ile bunların bazı ülkelerdeki devlet eID uygulamaları yer alıyor.

Manic, 169 uygulamanın teknik tanımlayıcılarını takip ediyor. Bu liste, bankaları, ödeme hizmetlerini, “şimdi al sonra öde” sistemlerini, havaleleri, kripto para borsalarını ve cüzdanlarını, mesajlaşma uygulamalarını, tarayıcıları, e-posta istemcilerini, devlet e-kimlik uygulamalarını ve giriş esnasında ikinci faktör olarak kullanılan kimlik doğrulama uygulamalarını kapsamaktadır.

Sahte ekran kaydedilmiyor

Geleneksel bankacılık truva atı, gerçeğin üzerine kopyalanmış banka arayüzünü gösterir. Ama Manic daha farklı bir yöntem benimsiyor. Hedef uygulamayı açtığında, bu sayede tuş takımının üzerine şeffaf bir katman yerleştiriyor. Kullanıcı bu katmana dokunduğunda, Manic bu dokunuşu kaydediyor, kısa süreliğine kendi dokunmayı engelliyor ve Android’in erişilebilirlik hizmetleri aracılığıyla aynı noktada dokunmayı tekrar aktif hale getiriyor. Bankacılık uygulaması normal girişi alıyor ve işlem devam ediyor. Ancak PIN kodu, saldırganın eline geçmiş oluyor.

Kilit ekranında aktifleşiyor

ThreatFabric tarafından autoEnterPin olarak adlandırılan ikinci bir işlev ise, kilit ekranında devreye giriyor ve önceden elde edilen PIN veya deseni otomatik olarak girmeye çalışıyor. Erişilebilirlik hizmetleri, bir keylogger gibi çalışıyor. Manic, topladığı girdileri, önceden girilen kilit ekranı PIN’i, kripto cüzdanı için kurtarma cümlesi, dört ila altı haneli SMS kodu veya şifre olup olmadığına göre sınıflandırıyor.

En dikkat çekici nokta ise, verilerin nasıl dışarı aktarıldığı. Virüsün bulaştığı telefon internete bağlı olmadığında, Manic topladığı verileri şifreleyip bir kuyruğa ekliyor. Daha sonra Wi-Fi Direct, Bluetooth veya Bluetooth Düşük Enerji ile radyo menzilindeki başka bir enfekte cihazı arıyor ve bu cihazın internete bağlı olup olmadığını kontrol ediyor. Eğer internete bağlıysa, veriler oraya aktarılıyor ve ardından sunucuya iletiliyor.

Nasıl tespit edilir?

Saldırganlar, bu kötü amaçlı yazılımı gizlemek için iki aşamalı bir strateji kullanıyor. Öncelikle zararlıyı cihaza sokan masum görünüşlü bir kılıf (wrapper) kullanıyorlar. Daha sonra ana zararlı yazılımı (implant) telefona entegre ediyorlar. Telefon içinde fark edilmemek için ise uygulamanın teknik adına (paket adı) ya da tanınmış büyük şirketlerin resmi sistem dosyası veya bileşeni gibi görünmesine özen gösteriliyor. Bu sayede hem kullanıcı hem de telefonun güvenlik mekanizmaları bu yazılımı şüpheli olarak tanımıyor.

Paket adları, tanınmış satıcıların sistem bileşenlerine benzer şekilde seçilmiş. ThreatFabric, tech.intel.dialer.updater, org.honor.secure.helper, org.lenovo.storage.processor, dev.huawei.media.helper, tech.apple.dialer.scheduler ve io.motorola.secure.executor gibi adları listeliyor. Temmuz sürümü, simgesini uygulama çekmecesinden kaldırıyor, dolayısıyla artık menüde gözükmüyor.

Erişilebilirlik hizmetleri ve bildirim erişimlerine dikkat!

Her şey iki izne bağlı: erişilebilirlik hizmetleri ve bildirim erişimi. Sorun olup olmadığını kontrol etmek için, Android ayarlarında erişilebilirlik bölümüne gidin ve oradaki hizmetlere göz atın. Açıkça bilerek yüklemediğiniz bir araca ait olmayan her şey kapatılmalıdır. Bildirim erişimi için de aynı durum geçerlidir. Manic, aynı zamanda otomatik dokunma yöntemleriyle Google Play Protect’i devre dışı bırakmaya çalışıyor, bu yüzden Play Store’a da dikkat etmenizde fayda var.

Kaynakça

https://www.threatfabric.com/blogs/manic-blend-between-banking-malware-and-spyware


https://www.notebookcheck.net/Android-trojan-Manic-steals-PINs-without-a-fake-banking-screen.1374712.0.html