Güvenlik araştırmacıları, bankacılık dolandırıcılığı, gözetim ve uzaktan cihaz kontrolünü, enfekte akıllı telefonlar arasında çalınan bilgileri taşımak için alışılmadık bir yöntemle birleştiren bir Android kötü amaçlı yazılım türü keşfetti.
Araştırmacılar ThreatFabric tarafından Manic olarak adlandırılan bu kötü amaçlı yazılım, bankacılık alanları, ödeme hizmetleri, kripto para platformları ve cüzdanları, mesajlaşma hizmetleri, devlet uygulamaları, kimlik doğrulama cihazları, tarayıcılar ve e-posta istemcilerini kapsayan 169 uygulamayı hedefliyor. Ana odağı Ukrayna’dır; ancak hedef listesi ayrıca Rus ve Avrupa finansal kurumları, uluslararası fintech ve kripto para hizmetleri ile askeri odaklı iletişimi de kapsamaktadır.
Manic, Erişilebilirlik Hizmeti ve bildirim izinlerini aldıktan sonra, operatörleri tehlikedeki Android cihazına geniş erişim sağlayabilir. Kötü amaçlı yazılım, şifreler, tek seferlik kimlik doğrulama kodları ve kripto para kurtarma ifadeleri toplayabilirken, aynı zamanda metin mesajlarını da izleyebilir.
Manic, hedefli bankacılık veya kripto para uygulamaları kullandığında örtülen ve aldatıcı ekranları kötüye kullanabilir. Bu teknikler, kötü amaçlı faaliyetleri gizlemesine ve ekrandaki tuş takımlarından girilen bilgileri yakalamasına olanak tanır. Android Erişilebilirlik Hizmetlerinin kötüye kullanılması, saldırganların ekranda ne göründüğünü gözlemlemesini ve cihazla uzaktan etkileşim kurmasını sağlar.
ThreatFabric, Manic’in telefonun kilidini açmak için kullanılan yöntemlerle ilgili bilgileri (PIN’ler, şifreler, desenler, parmak izleri ve yüz tanıma gibi bilgileri) yakalayabildiğini buldu. Araştırmacılar, kötü amaçlı yazılımı, Android bankacılık tehditleriyle ilişkili işlevselliği daha geniş casus yazılım yetenekleriyle birleştiren olarak tanımlıyor.
Manic’in en ayırt edici özelliklerinden biri, bilgileri nasıl sızdırdığıdır. Çalınan dosyalar ve veriler AES-GCM ile şifrelenir ve yerel bir kuyrukta saklanırken, kötü amaçlı yazılım komuta ve kontrol altyapısına giden bir yol arar.
Tehlikeye girmiş bir telefonun bu bilgiyi iletmek için mutlaka kendi internet bağlantısına ihtiyacı yoktur. Manic, sırada duran verileri Wi-Fi Direct veya Bluetooth kullanarak yakındaki enfekte başka bir Android cihazına aktarabilir. Bu ikinci cihaz daha sonra bir aktarıcı olarak görev yapabilir ve çalınan bilgileri saldırganların kontrolündeki altyapıya iletebilir.
Doğrudan bağlantı veya başka uygun enfekte cihaz mevcut değilse, Manic şifrelenmiş veriyi kuyruk altında tutar ve iletimi daha sonra tekrar dener.
Bu özellik, enfekte bir akıllı telefonu internetten tek başına ayırmanın cihazdan bilgi çıkmasını engellemek için yeterli olmayabileceği anlamına gelir. Başka bir Manic enfekte telefonu kablosuz menzildeyse, kötü amaçlı yazılımın çalınan bilgileri iletmek için alternatif bir yolu olabilir.
Araştırmacılar, Google Play Store’da Manic’i tespit edemedi. Bu nedenle, kötü amaçlı yazılım, güvenilmez web sitelerinden veya diğer resmi olmayan dağıtım kaynaklarından elde edilen Android APK dosyalarının yüklenmesiyle ilgili riskleri pekiştiriyor.