Android için yeni tehdit Manic bankacılık ve casus yazılımı birleştiriyor

ThreatFabric, Avrupa genelinde bankacılık işlemleri ve kimlik doğrulama süreçlerini hedef alan, Manic adlı yeni bir Android zararlı yazılımını ortaya çıkardı. Manic, 169 farklı uygulamayı izleyerek bankacılık truva atı ile casus yazılım özelliklerini tek yapıda bir araya getiriyor ve özellikle PIN toplama yöntemleriyle dikkat çekiyor.

Avrupa çapında bankalar ve eID uygulamaları hedefte

Hollandalı güvenlik firması ThreatFabric, 20 Ağustos tarihli raporunda daha önce belgelenmemiş bu zararlı yazılımı ayrıntılarıyla tanımladı. Virüsün esas hedefinin Ukrayna olduğu, bunun yanında Almanya, Polonya, Çek Cumhuriyeti, Slovakya, Avusturya, Fransa, İspanya, Hollanda, Estonya, Litvanya ve Birleşik Krallık’ta faaliyet gösteren bankaların da listede bulunduğu aktarıldı.

İzlenen 169 paket kimliği, yalnızca bankaları değil, ödeme hizmetlerini, şimdi al sonra öde sistemlerini, havale çözümlerini, kripto para borsaları ve cüzdanlarını da kapsıyor. Listeye ayrıca mesajlaşma uygulamaları, tarayıcılar, e-posta istemcileri, devlet e-kimlik uygulamaları ve çok faktörlü girişlerde kullanılan kimlik doğrulama yazılımları da dahil ediliyor.

Sahte ekran yok gerçek tuş takımı üzerine şeffaf katman

Manic, klasik bankacılık truva atlarından farklı olarak sahte bir giriş ekranı göstermiyor. Hedef uygulama içinde sayısal tuş takımı tespit edildiğinde, bu tuşların tam üzerine şeffaf bir katman yerleştiriyor. Kullanıcı PIN girerken, zararlı yazılım dokunulan konumları kaydediyor ve Android erişilebilirlik hizmetleri sayesinde aynı noktaya gerçek dokunmayı yeniden ileterek işlem akışını bozmuyor.

Böylece bankacılık uygulaması giriş verisini normal şekilde alıyor ve kullanıcı ekranda olağan dışı bir durum fark etmiyor. Ancak PIN kodu, bu süreçte saldırganın kontrol ettiği altyapıya iletilmek üzere yakalanmış oluyor.

Kilit ekranında PIN giren otomasyon ve sınıflandırma

ThreatFabric, Manic’in autoEnterPin adı verilen ikinci işlevinin kilit ekranında devreye girdiğini belirtiyor. Bu özellik, daha önce ele geçirilmiş PIN veya desen kodunu kullanarak cihazın kilidini otomatik biçimde açmayı hedefliyor.

Erişilebilirlik hizmetleri bu aşamada bir keylogger gibi çalıştırılıyor. Zararlı yazılım, kaydettiği girdileri kilit ekranı PIN’i, kripto cüzdanı kurtarma ifadesi, dört ila altı haneli SMS kodu veya parola olup olmadığına göre sınıflandırıyor. Böylece hangi bilginin nerede kullanılacağını ayırt edebiliyor.

İnternet kesilince veriyi yakındaki ikinci cihaza aktarıyor

Manic’in en dikkat çekici özelliklerinden biri, veri dışa aktarma yöntemi olarak öne çıkıyor. İnternete erişimi kesilen enfekte cihazda toplanan veriler önce şifrelenip kuyruğa alınıyor. Ardından Wi-Fi Direct, Bluetooth veya Bluetooth Düşük Enerji üzerinden radyo menzili içindeki diğer enfekte telefonlar aranıyor.

Zararlı yazılım, yakındaki bulaşmış olabilecek cihazlardan birinin çevrimiçi olduğunu tespit ederse, biriktirdiği paketi önce o telefona, ardından komuta sunucusuna taşıyor. Bu mekanizma, tek bir cihazın çevrimdışı kalmasının veri sızıntısını durdurmasını engelleyen zincirleme bir aktarım mantığı oluşturuyor.

İki aşamalı gizlenme taktiği ve sahte paket adları

Saldırganlar, Manic’i sistemde saklamak için iki katmanlı bir yöntem kullanıyor. İlk aşamada, zararlıyı telefona indirecek masum görünümlü bir taşıyıcı uygulama devreye giriyor. Ardından asıl tehdit olan implant, bu kılıf üzerinden cihaza yerleştiriliyor.

Yazılım, fark edilmemek için kendisini büyük üreticilerin resmi sistem bileşenleri gibi gösterme stratejisine başvuruyor. Uygulamanın paket adı, bilinen şirketlerin sistem dosyalarını andıracak şekilde seçiliyor ve böylece hem kullanıcının hem de güvenlik mekanizmalarının şüphe duymaması hedefleniyor.

ThreatFabric’in aktardığına göre, kullanılan paket adları arasında tech.intel.dialer.updater, org.honor.secure.helper, org.lenovo.storage.processor, dev.huawei.media.helper, tech.apple.dialer.scheduler ve io.motorola.secure.executor bulunuyor. Temmuz ayında görülen sürüm, simgesini uygulama çekmecesinden tamamen kaldırarak menüde görünmez hale geliyor.

Erişilebilirlik ve bildirim izinleri kritik rol oynuyor

Manic’in yetenekleri, büyük ölçüde erişilebilirlik hizmetleri ve bildirim erişimi izinlerine dayanıyor. Zararlı yazılımın etkin olup olmadığını anlamak için Android ayarlarında erişilebilirlik bölümüne girilerek listelenen servislerin gözden geçirilmesi öneriliyor. Kullanıcı tarafından bilerek kurulmamış araçlara ait tüm hizmetlerin bu alanda kapatılması gerektiği vurgulanıyor.

Aynı denetimin bildirim erişimi için de yapılması isteniyor. Zararlı yazılım, otomatik dokunma işlemleri yoluyla Google Play Protect’i devre dışı bırakmaya çalıştığı için, Play Store üzerinden de koruma ayarlarının kontrol edilmesi gerekiyor. Bu izinlerin yönetimi, Manic benzeri tehditlerin etkinliğini sınırlamak açısından belirleyici kabul ediliyor.