Ravie Lakshmanan 14 Ekim 2026 Kötü Amaçlı Yazılım / Siber Suç
Siber güvenlik araştırmacıları, meşru bankacılık uygulamalarının yerini güvenlik kontrollerini içeriden atlatmak için özel olarak yamalanmış sürümlerle değiştiren yeni bir Android bankacılık truva atı Hirudo hakkında ayrıntı paylaştı. Bu yöntem finansal dolandırıcılıkta yeni bir tırmanış olarak görülüyor.
Hollanda merkezli mobil güvenlik şirketi ThreatFabric, sekiz Endonezya bankacılık uygulamasının değiştirilmiş kopyalarını tespit ettiğini açıkladı. Zararlı yazılımın kimlik bilgisi hedeflemesi Endonezya, Çin, Hindistan, Meksika, Fas ve Tayland’ı kapsıyor.
ThreatFabric’te dolandırıcılık mühendisliği başkan yardımcısı Eward Driehuis, The Hacker News ile paylaşılan açıklamada, “Operasyon kimlik bilgisi çalma, cihaz ele geçirme, ekran ve kamera yakalama ile SMS çalmayı, oldukça olgun bir arka uçla birleştiriyor” dedi.
Hirudo, cihaz üzerinde kimlik bilgisi çalma ve canlı uzaktan kontrol sağlıyor. Zararlı yazılım, truva atını ayrı bir kurulum paketi olarak taşıyan alışveriş, yetişkin video ve eğlence damperi uygulamalarıyla dağıtılıyor ve ardından uygulama içi güncelleme olarak sunuluyor.
Bazı damperi uygulamaları aşağıda listeleniyor.
1V1 X (com.onev.vip)
ThreatFabric açıklamaya göre, “Aldatma işlevsel; WebView’de gerçek içerik, bir mağaza vitrini, video kataloğu ya da kısa dramalar yükleniyor, böylece deneyim meşru görünüyor. Bu içeriğin arkasında damperi sabit bir başlangıç rutini çalıştırıyor: promosyon takibi verisi topluyor, kampanya yapılandırmasını alıyor ve yükün, erişilebilirlik hizmeti ve bildirim erişimi etkin Hirudo RAT’ın zaten kurulu olup olmadığını kontrol ediyor.”
Yük mevcut değilse, zararlı yazılımın kurulumunu tetiklemek için sahte bir uygulama içi güncelleme istemi gösteriyor. Hirudo’nun ikinci bir uygulama olarak kurulduğu ve zararlı faaliyetleri gerçekleştirebilmesi için kendi izinlerinin verilmesi gerektiği vurgulanıyor.
StreamRat örneğinde görüldüğü gibi, zararlı yazılım yük kurulumundan önce kasıtlı olarak işlevsiz bir VPN bağlantısı yapılandırarak internet erişimini engelleme temelli bir anti-tespit tekniği uyguluyor. Bu, Google Play Protect gibi uygulamaların ve hizmetlerin yükün bulut tabanlı kontrollerini yapmasını engellemeye yönelik bir girişim olarak değerlendiriliyor.
ThreatFabric geçen ay not etti ki, “Play Protect ayrıca bilinen potansiyel olarak zararlı uygulamalar için çevrimdışı tespit de sağlıyor, yani mekanizma korumasını tamamen devre dışı bırakmıyor. Bu nedenle tekniğin Play Protect’i tamamen atlatmaktan ziyade çevrimiçi itibar ve kod analiz mekanizmalarının etkinliğini azaltmayı amaçladığını değerlendiriyoruz.”
Kullanılan aldatma uygulamasının niteliğine bağlı olarak damperi, ödeme PIN’lerini yakalamak için sahte ekranlar sunmak, banka ve cüzdan uygulamaları için giriş kimlik bilgileri isteyen sahte ekranlar göstermek, sahte kilit ekranı desen ve PIN bindirmeleri görüntülemek ve cihazın tam uzaktan kontrolünü sağlamak üzere tasarlanmış.
Android bankacılık truva atları için tüm bu davranış olağan olsa da, hedef bankacılık uygulamasının değiştirilmiş bir kopyasıyla değiştirilme girişimleri öne çıkıyor. Özellikle amaçlanan ikameler, uygulama içinden imza, erişilebilirlik, ekran yakalama ve Play Integrity kontrollerini kör eden bir hooking motoru gömüyor. Değiştirme hedefi sekiz Endonezya uygulamasını kapsıyor.
ThreatFabric açıklamasına göre, “Bu uygulamalar için RAT, erişilebilirlik yoluyla kurulu bankacılık uygulamasını algılıyor, imza sertifikasını saklanan referansla kontrol ediyor ve ardından sahte bir ‘güncelleme’ istemi gösteriyor. Kullanıcının dokunmasını beklemeden gerçek uygulamanın Android kaldırıcı uygulamasını açıyor ve bankaya özel ikameyi paralel indiriyor.”
Uygulamanın neredeyse aynı zararlı kopyasını kurmadan önce kaldırma gerekliliği ‘gerçek bir kısıtlama’ olsa da, mekanizma saldırgan tarafından önceden beslenen yanıtları döndürerek bankacılık uygulamasının kendi güvenlik kontrollerini atlatma yeteneği sunuyor.
Bu, gerçek uygulama imza sertifikasını döndürmeyi, etkin erişilebilirlik hizmetleri sorgusunda boş liste döndürmeyi ve uygulamanın ekranlarının uzaktan görüntülenip kaydedilebilmesi için FLAG_SECURE bayrağını kaldırmayı içeriyor.
Mobil güvenlik şirketi, “Anahtar onaylama sertifikaları, paketlenmiş bir keybox ile yeniden imzalanıyor ve Play Integrity istekleri düz HTTP üzerinden operatör kontrollü bir sunucuya yönlendiriliyor, sunucu uygulama tarafından kabul edilecek bir karar döndürüyor” dedi.
“Savunmacılar için iki noktanın altı çizilmeye değer. Birincisi, motorun taşıdığı onaylama keybox’ı operatörlere ait değil; kamuya sızmış bir keybox. İkincisi, Integrity isteği gerçekten üretilmek yerine yönlendirildiği için geçerli bir Integrity yanıtı tek başına bozulmamış bir uygulamanın kanıtı değil.”
Kanıtlar, zararlı yazılımın alışveriş, kısa drama ve futbol uygulamaları için Google Play Store açılış sayfalarını taklit eden sahte web sayfaları üzerinden dağıtıldığını gösteriyor. Kullanıcıların Meta’ya ait sosyal medya platformlarındaki reklamlar üzerinden bu sitelere yönlendirildiği değerlendiriliyor.
Tüm operasyon, cihaz kontrolünü farklı kampanyaların ve çalınan verilerin yönetilmesiyle birleştiren bir arka uca dayanıyor; bu veriler cihaz kayıtları, kilit ekranı geçmişi ve aylık gelir ve risk puanı alanları içeren finansal profilleri kapsıyor.
ThreatFabric, “Hirudo, Android bankacılarının sert uygulamalarla yaklaşımında bilinçli bir tırmanışı işaret ediyor. Zararlı yazılımın müdahalesini hedef uygulama içine taşımasıyla mücadele, cihazdan uygulamanın kendi bütünlük kontrollerine ve özel bir yamadan yeniden hedeflenebilir bir motor kullanıma kayıyor” dedi.
“Bir uygulama değiştirilebildiğinde, yerel olarak üretilen sinyalleri, imzası, erişilebilirlik listesi ve bütünlük kararı saldırgan etkilenmiş olarak ele alınmalı ve sunucu tarafında doğrulanmalı” dedi.
Geçen ayki bulgular, siber güvenlik firmasının StreamRat’ın ücretsiz bir TV akış hizmeti olan Streamtv Esp’u taklit eden Meta ve TikTok reklamları üzerinden İspanyolca konuşan kullanıcıları hedeflemesini bir aydan biraz fazla bir süre önce açıklamış olmasının ardından geldi.
ThreatFabric, “StreamRat, operatörlere enfekte cihazlar üzerinde neredeyse tam kontrol sağlamak için erişilebilirlik hizmetlerini ve MediaProjection’ı kötüye kullanıyor; VNC ve gizli ekran kontrolü, UI-ağacı toplama, tuş kaydı, kimlik bilgisi çalan bindirmeler, internet ve ekran engelleme yeteneklerini birleştiriyor” dedi.
