Google Play’de Haber Uygulaması Kılığında Yeni Android Kötü Amaçlı Yazılım

Araştırmacılar tarafından on iki kötü amaçlı Android casusluk uygulaması keşfedildi; bunların tümü, VajraSpy olarak bilinen bir uzaktan erişim truva atı (RAT) kodunu çalıştırıyordu.

Bunlardan altısının Google Play Store’da mevcut olduğu, diğer altısının ise VirusTotal ile keşfedildiği ortaya çıktı.

Bu uygulamaların tümü, VajraSpy RAT kodu ve geliştirici sertifikasıyla birlikte verilen mesajlaşma platformu gibi çeşitli benzerlikleri paylaşıyor.

Bu uygulamaların yüklenme tarihi Nisan 2021 ile Mart 2023 arasındaydı. Bu başvurulardan sadece birinin diğerlerinden farklılaşan yeni bir uygulama olduğu görüldü.

En eski uygulamanın 1 Nisan 2021’de yüklenen Privee Talk olduğu, en son uygulamanın ise Eylül 2023’te ortaya çıkan Wave Chat olduğu keşfedildi.

Tüm bu uygulamaların toplamında yaklaşık 1400 kurulum gerçekleşti. Kötü amaçlı uygulamaların listesi aşağıdaki gibidir:

• Refakat dostluğu
• Özel konuşma
• Benimle tanış
• Muhabbet edelim
• Hızlı sohbet
• Geyik sohbetler
• TikTalk
• Merhaba Sohbet
• YohooTalk
• Yuva
• GlowChat
• Dalga Sohbeti
• Uygulamaya tıklayın
• Çılgın konuşma

Google Play’de Android Kötü Amaçlı Yazılım

Cyber ​​Security News ile paylaşılan raporlara göre VajraSpy, tüm kötü amaçlı uygulamalarda aynı sınıf adlarını kullanan kullanıcı verilerine sızmak için kullanılabilecek özelleştirilebilir bir truva atıdır.

Ek olarak, gözlemlenen tüm uygulamalar, veri sızıntısı için aynı çalışan sınıflarını paylaşıyordu. Ancak truva atı haline getirilmiş uygulamalar şu şekilde üç gruba ayrılabilir:

1. Temel işlevlere sahip truva atı haline getirilmiş mesajlaşma uygulamaları
2. Gelişmiş işlevlere sahip truva atı haline getirilmiş mesajlaşma uygulamaları
3. Mesajlaşma dışı uygulamalar

Trojanlı Mesajlaşma Uygulamaları

Bu grup, MeetMe, Privee Talk, Let’s Chat, Quick Chat, GlowChat ve Chit Chat gibi Google Play’de bulunan kötü amaçlı uygulamalardan oluşur. Ayrıca Google Play’de bulunmayan Merhaba Sohbet’i de içerir.

Bu uygulama grubu standart bir mesajlaşma işlevine sahiptir ve başlangıçta bir hesap oluşturulmasını gerektirir.

Ayrıca OTP SMS kodları kullanılarak cep telefonu numarası doğrulaması da yapılmaktadır. Ancak bu adımın başarısı ne olursa olsun VajraSpy zaten çalışıyor olduğundan bu alakasız bir adımdır.

Ayrıca telefon numarası doğrulamanın, mağdurun ülke kodunu öğrenmenin bir yolu olarak tehdit aktörleri tarafından gerçekleştirildiği tahmin ediliyor.

Bu grup altında kategorize edilen uygulamaların tamamı aşağıdaki verileri sızdırma yeteneğine sahiptir.

• Kişiler,
• SMS mesajları,
• arama kayıtları,
• cihaz konumu,
• yüklü uygulamaların bir listesi ve
• belirli uzantılara sahip dosyalar (.pdf, .doc, .docx, .txt, .ppt, .pptx, .xls, .xlsx, .jpg, .jpeg, .png, .mp3, .Om4a, .aac ve .opus) ).

Trojanlı Mesajlaşma Uygulamaları

Gelişmiş işlevlere sahip truva atı haline getirilmiş mesajlaşma uygulamaları

Bu grup TikTalk, Nidus, YohooTalk, Crazy Talk ve Wave Chat uygulamalarından oluşmaktadır. Bu uygulamalar WhatsApp, WhatsApp Business ve sinyal iletişimini ele geçirme gibi genişletilmiş yetenekleri gerçekleştirir.

Ayrıca VajraSpy, Firebase tarafından barındırılan C&C sunucusuna yüklenen konsoldaki ve yerel veritabanındaki bu uygulamalardan gelen tüm görünür iletişimleri de günlüğe kaydeder. Bunun dışında bu uygulamalar herhangi bir cihaz bildirimini de engelleyebilir.

Grup içindeki uygulamalardan biri olan Wave Chat’in aşağıdaki gibi ek yeteneklere sahip olduğu görüldü:

• telefon görüşmelerini kaydetme,
• WhatsApp, WhatsApp Business, Signal ve Telegram’dan gelen çağrıları kaydedin,
• tuş vuruşlarını günlüğe kaydetme,
• kamerayı kullanarak fotoğraf çekmek,
• Çevredeki sesi kaydedin ve
• Wi-Fi ağlarını tarayın.

Mesajlaşma dışı uygulamalar

Daha önce de belirttiğimiz gibi sohbet dışı tek uygulama olan bu gruba yalnızca Refaqat رفاقت uygulaması aittir. Bu uygulama telefon numarası istemesine rağmen herhangi bir doğrulama işlemi gerçekleştirmiyor.

Bu uygulamanın ayrıca bildirimleri ele geçirebildiği ve .pdf, .doc, .docx, .txt, .ppt, .pptx, .xls, .xlsx, .jpg, .jpeg gibi belirli uzantılara sahip kişileri ve dosyaları dışarı sızdırabildiği bulunmuştur. .png, .mp3, .Om4a, .aac ve .opus.

ESET, bu uygulamaların yayınlandığını, kaynak kodu, uygulama analizi, kötü amaçlı yazılım analizi ve diğer bilgiler hakkında ayrıntılı bilgi sağladığını bildirdi.

Uzlaşma Göstergeleri

Dosyalar

Ağ