Android platformunu hedef alan ArcticRAT, sadece kripto para çalmakla kalmayıp cihazların tam kontrolünü ele geçirebilen gelişmiş bir uzaktan erişim truva atına (RAT) dönüştü. Zararlı yazılım, çalınan hassas bilgileri analiz etmek ve değerli finansal verileri tespit etmek için yapay zekâ kullanıyor.
Zararlıyı takip eden siber güvenlik şirketi Zimperium'un araştırmacıları, bu durumun mobil tehdit ortamında "tehlikeli bir tırmanış" olduğunu belirtti. Şirkete göre yazılımın yeni versiyonları, saldırganların önceden kodlanmış işlemlerle sınırlı kalmak yerine, enfekte olan cihazlarla gerçek zamanlı etkileşim kurmasına olanak tanıyor.
Yapay Zekâ Destekli Mobil RAT
Zararlı yazılım, saldırganların faaliyetlerini gizlemek için ekranı tamamen kaplayan ve kapatılamayan siyah bir katman kullanıyor. En dikkat çekici nokta ise ArcticRAT operatörlerinin, çalınan kısa mesajlar ve diğer veriler arasından sömürülebilecek finansal bilgileri otomatik olarak ayıklamak için büyük dil modellerinden (LLM) yararlanması.
Zimperium baş bilim insanı Nico Chiaraviglio, Dark Reading'e yaptığı açıklamada, ArcticRAT'ın SMS mesajları gibi kullanıcı bilgilerini okuyarak dolandırıcılıkta kullanılabilecek finansal verileri filtrelemek için yapay zekâ kullandığını söyledi. Chiaraviglio, siyah ekran katmanıyla birleştirilen gizli uzaktan kontrol tekniğinin özellikle zorlayıcı olduğunu, saldırganların Android'in yasal özelliklerini kötüye kullanarak cihazı kilitli veya kapalıymış gibi gösterdiğini vurguladı.
Chiaraviglio, ArcticRAT gibi tehditlere karşı korunmak için kurumların cihaz üzerinde çalışan yapay zekâ destekli tehdit algılama sistemleri kurması, uygulama yükleme ve izinlerini sıkı denetlemesi ve şüpheli ekran paylaşımı ile kötü amaçlı katmanları tespit etmek için çalışma zamanı uygulama koruması kullanması gerektiğini ekledi.
ArcticRAT'ın ilk versiyonları, 11 spesifik kripto para uygulaması kullanıcısını hedefliyordu. Temel amaç, saldırganların kurbanların kripto hesaplarına erişmesini sağlayacak hassas bilgileri toplamak olarak belirlenmişti.
Zimperium'un takip ettiği yeni versiyonlar ise çok daha geniş yeteneklere sahip. Bu versiyonlar; uzaktan cihaz kontrolü ve gözetleme, kimlik bilgileri ve tuş vuruşlarının çalınması, ekran görüntüsü alma, canlı ekran akışı, mikrofon izleme ile SMS mesajları, kişiler ve arama kayıtlarının çalınması gibi özellikler sunuyor. Ayrıca saldırganlar, cihazın kilit ekranı kimlik bilgilerini çalıp değiştirerek kullanıcıların cihazlarına erişimini tamamen engelleyebiliyor.
Zimperium analistleri temmuz ayından bu yana 78 benzersiz zararlı yazılım örneği, 42 dropper örneği, 36 yük (payload) ve komuta-kontrol iletişimi için kullanılan 21 IP adresi tespit etti. Araştırmacılar ayrıca saldırganların cihazları uzaktan yönetmek, bilgi çalmak, kullanıcıyı izlemek ve cihaz fonksiyonlarını manipüle etmek için kullandığı 129 farklı komutu belirledi.
ArcticRAT 2.0 operatörleri, kullanıcıları zararlı yazılımın gömülü olduğu web sitelerine yönlendirmek için kötü amaçlı reklamlar (malvertising), SMS üzerinden kimlik avı (smishing) ve üçüncü taraf forumları kullanıyor. Zimperium'a göre ana saldırı yöntemi, hedefleri kötü amaçlı bir uygulama indirmeye ikna etmek için Google Play'i taklit eden inandırıcı bir açılış sayfası kullanmaya dayanıyor. Bazı durumlarda saldırganların, zararlı yükü doğrudan Android cihazlara iletmek için Amazon Web Services depolama alanlarını kullandığı gözlemlendi.
Yüklendikten sonra ArcticRAT'ın son versiyonu, önceki sürümlerde olduğu gibi Android Erişilebilirlik Hizmetleri izinlerini kötüye kullanarak komuta-kontrol (C2) sunucularına bağlanıyor ve saldırganlara cihaz üzerinde tam kontrol sağlıyor. Yazılım önce konum, pil durumu, ekran durumu, Wi-Fi bağlantısı ve aktif uygulamalar dahil olmak üzere cihaz hakkında bilgi topluyor.
Bu bilgiler siber saldırganlara gönderiliyor ve saldırganlar, kurbanın cihazına ve yüklü uygulamalarına göre hangi fonksiyonları aktif edeceklerini seçiyor. Bu işlemler arasında tuş vuruşlarını kaydetmek, ekran görüntüsü almak, ekran aktivitesini izlemek, mikrofonu dinlemek ve mesajlar ile uygulamalardan hassas bilgileri çekmek yer alıyor.
Çalınan Verilerin Otomatik Analizi
ArcticRAT'a eklenen en önemli özelliklerden biri, çalınan bilgileri analiz ederek finansal değeri olan verileri belirlemek için yapay zekâ kullanması. Zimperium, zararlı yazılımın xAI'ın Grok modeline bir API bağlantısı içerdiğini saptadı. Saldırganlar bu bağlantıyı uzaktan aktif ederek kurbanın yüklü uygulamalarını inceleyebiliyor ve bankacılık, kripto para veya yatırım platformlarını tespit edebiliyor.
Yeni yapay zekâ yetenekleri sayesinde ArcticRAT, çalınan SMS mesajlarını işleyerek rutin yazışmaları ve reklam mesajlarını; tek seferlik doğrulama kodları, hesap bakiyesi değişiklikleri ve işlem bildirimleri gibi kritik bilgilerden ayırabiliyor. Zimperium'a göre yazılım, bilgileri komuta-kontrol altyapısına göndermeden önce kurbanın finansal durumunu bile tahmin edebiliyor.
Şirket, bu durumun saldırganların büyük miktardaki çalınan veriyi manuel olarak incelemek yerine, değerli finansal istihbaratı ayıklama sürecini otomatize etmelerini sağladığını belirtti. ArcticRAT gibi mobil Truva atı tehditleri giderek karmaşıklaştığı için, geleneksel imza tabanlı güvenlik katmanlarının kurumsal mobil uç noktaları korumak için artık yeterli olmadığı ifade edildi.
ArcticRAT'ın hedef odaklı bir kripto hırsızından gelişmiş bir RAT'a dönüşmesi, mobil tehditlerin ne kadar hızlı evrildiğinin ve saldırganların yapay zekâyı zararlı yazılımları daha tehlikeli hale getirmek için nasıl kullandığının bir örneği. Analistler, bu trendin kullanıcıların ve kurumların mobil cihazları "ikincil güvenlik sorunu" olarak görmeyi bırakması gerektiğini vurguladı. Mobil cihazlara, geleneksel uç noktalarla aynı düzeyde tehdit izleme, erişim kontrolü ve güvenlik koruması uygulanması gerektiği kaydedildi.
