RedWing adlı yeni bir Android kötü amaçlı yazılım operasyonu, Telegram üzerinden hazır bir banka dolandırıcılık hizmeti olarak kiralanıyor. Bu yazılım, düşük becerili suçluların bile bir kurbanın telefonunu ele geçirmesine, banka giriş bilgilerini çalmasına ve hesapları koruyan tek kullanımlık şifreleri yakalamasına olanak tanıyor.
Operasyonu keşfeden Zimperium'un zLabs ekibi, bunun bu yılın başlarında belgelenen aylık 300 dolarlık kiralık kötü amaçlı yazılım aracı Oblivion'un yeni bir varyantına benzediğini söylüyor.
RedWing, abonelik katmanları, yönlendirme indirimleri, kılavuzlar ve nasıl yapılır videolarıyla eksiksiz bir ürün olarak satılıyor. Bu sayede alıcının kötü amaçlı yazılım yazma becerisine ihtiyacı olmuyor. Bir Telegram botu, her alıcı için talep üzerine özel bir uygulama oluşturuyor.
Araştırmacılar, ortaya çıkan dropper ve yüklerin önemli bir kısmının şu anda geleneksel güvenlik araçlarından kaçtığını belirtiyor.
Enfeksiyon, sahte bir uygulama mağazası sayfası açan bir kimlik avı bağlantısıyla başlıyor. Kitin dropper oluşturucusu, Google Play, Galaxy Store ve AppGallery'yi taklit edebiliyor veya tamamen özel sayfalar oluşturabiliyor. Bu sayfalarda sahte derecelendirmeler, yorumlar ve indirme sayıları da yer alıyor. Sayfa daha sonra kullanıcıyı uygulamayı resmi mağaza dışından yüklemeye ve izinlerini onaylamaya ikna ediyor.
Uygulama, izin taleplerini her seferinde bir ekran olacak şekilde aşamalı olarak sunuyor. Arka planda zararsız görünen bir web sayfası dururken, açılır kartlar izinleri rutin işlemler gibi göstererek talep ediyor: pil kısıtlamalarını kapatma, uygulamayı varsayılan kısa mesaj işleyicisi olarak ayarlama ve bildirimleri açma.
Ayrıca Android'in Erişilebilirlik hizmetini açmayı da istiyor. Kötü amaçlı yazılımlar bu hizmeti ekranı okumak ve telefonu kontrol etmek için kötüye kullanıyor.
