Sinyal ve Totok uygulamalarını taklit ederek kullanıcıları hedefleyen yeni Android casus yazılım

ESET araştırmacıları, popüler mesajlaşma uygulamaları sinyalini ve totok’u taklit ederek güvenli iletişim platformları arayan kullanıcıları hedefleyen iki sofistike Android casus yazılımı kampanyasını ortaya çıkardılar.

Bu kötü niyetli operasyonlar, daha önce belgelenmemiş kötü amaçlı yazılım ailelerini dağıtmak için aldatıcı web siteleri ve sosyal mühendislik taktiklerini kullanarak öncelikle Birleşik Arap Emirlikleri (BAE) sakinlerine odaklanıyor gibi görünmektedir.

Soruşturmada, dikkatle düzenlenmiş aldatma kampanyaları ile faaliyet gösteren iki farklı Android casus yazılım ailesi ortaya çıktı. Android/Spy.Pospy, hem sinyal hem de totok mesajlaşma uygulamaları için yükseltmeler veya eklentiler olarak maskelenirken, Android/Spy.Tospy sadece uygulamayı taklit ederek Totok kullanıcılarını hedefler.

Hiçbir kötü amaçlı uygulama, resmi uygulama mağazaları aracılığıyla mevcut değildi, bu da mağdurların yazılımı meşru görünmek için tasarlanmış üçüncü taraf web sitelerinden manuel olarak yüklemelerini gerektirmedi.

Eklenti, iki özel web sitesi (https: //signal.ct[.]WS ve https: //encryption-plug-in-signal.com-ee[.]Net/) ve yalnızca kullanıcıların bilinmeyen kaynaklardan manuel kurulumu etkinleştirmesini gerektiren bir Android uygulaması şeklinde mevcuttu.

Özellikle sofistike bir dağıtım yöntemi, Samsung Galaxy Store’u taklit eden sahte bir web sitesi içeriyordu ve bu da kullanıcıları Totok uygulamasının kötü niyetli bir sürümünü indirmeye ve yüklemeye başarılı bir şekilde çekti.

Prospy kampanyası

Haziran 2025’te keşfedilen ancak 2024’ten beri aktif olduğuna inanılan prospy kampanyası, kötü amaçlı yazılımları sinyali ve totok platformlarını taklit eden üç aldatıcı web sitesi aracılığıyla dağıtıyor.

Kampanya, özellikle “Sinyal Şifreleme Eklentisi” ve “Totok Pro” olarak pazarlanan iyileştirmeler olarak gizlenmiş kötü amaçlı APK dosyaları sunuyor.

Sinyal şifreleme eklentisi varyantı, yapılarında “.ae.net” içeren alanlar kullanılarak özel kimlik avı web siteleri aracılığıyla dağıtıldı ve BAE sakinlerine kasıtlı bir odaklanma önerdi.

Kurulum üzerine, kötü amaçlı uygulama, arka plan verilerine başlamadan önce kişilere, SMS mesajlarına ve cihaz dosyalarına erişmek için kapsamlı izinler talep eder.

İlk kurulumdan sonra, sinyal şifreleme eklentisi, “Play Hizmetleri” gibi görünmek için cihazdaki görünümünü değiştirerek ve tıklandığında kullanıcıları meşru Google Play hizmetlerine yönlendiren sofistike bir kılık değiştirme tekniği kullanır.

Bu etkinlik-Alias ​​manipülasyonu, hassas verilere kalıcı erişimi korurken casus yazılımın varlığını etkili bir şekilde maskeler.

Tospy Kampanyası

Tospy kampanyası, BAE’de bulunan cihazlardan kaynaklanan onaylanmış tespitlerle daha da hedeflenmiş bölgesel operasyonlar göstermektedir.

Araştırmacılar, tek bir tehdit oyuncusu tarafından koordinasyonu gösteren özdeş kötü amaçlı kod ve geliştirici sertifikalarını paylaşan altı örnek belirlediler.

Kanıtlar, Tospy kampanyasının 24 Mayıs 2022’de oluşturulan geliştirici sertifikası ve aynı zaman dilimi etrafında kayıtlı olan ilgili alanların geliştirici sertifikası ile başladığını gösteriyor. Birkaç komut ve kontrol sunucusu aktif kalır, bu da yayın sırasında devam eden işlemleri gösterir.

Kötü amaçlı yazılım, özellikle .ttkmbackup uzantısıyla totok yedekleme dosyalarını hedefler ve sohbet geçmişini ve uygulama verilerini çıkarmaya özel ilgi gösterir. Bu odak noktası Totok’un BAE ve çevresindeki bölgesel popülaritesi ile uyumludur.

Her iki casus yazılım ailesi, belgeler, resimler, videolar ve arşivler de dahil olmak üzere birden fazla kategoride cihaz bilgilerini, depolanan SMS mesajlarını, iletişim listelerini ve dosyaları sistematik olarak söndüren kapsamlı veri toplama özellikleri gösterir.

Kötü amaçlı yazılım, ön plan hizmetleri, alarm yöneticileri ve önyükleme kalıcılık mekanizmaları yoluyla kalıcı arka plan işlemlerini sürdürür.

Tospy, HTTPS post istekleri aracılığıyla komuta ve kontrol sunucularına iletilmeden önce pessfiltrated verileri güvence altına almak için CBC modunda sabit kodlanmış bir anahtarla AES şifrelemesini kullanır.

Aynı şifreleme anahtarı, merkezi geliştirme ve dağıtım öneren altı tanımlanan altı örneğin tümünde kullanılır.

Koruma ve önleme önlemleri

Google Play Protect, Android kullanıcılarını bu casus yazılımların bilinen sürümlerine karşı otomatik olarak savunur ve Google Play Hizmetleri ile cihazlar için varsayılan koruma sağlar.

ESET, bu ortaya çıkan tehditlere hızlı bir şekilde yanıt vererek App Defense Alliance ortaklığının bir parçası olarak bulgularını Google ile paylaştı.

Güvenlik uzmanları, gayri resmi kaynaklardan uygulama kurulumlarından kaçınmanın ve “bilinmeyen kaynaklar” kurulum seçeneğini devre dışı bırakmanın önemini vurgulamaktadır.

Kullanıcılar, özellikle resmi uygulama mağazalarının dışında yazılım yüklemesi istendiğinde, güvenilir iletişim hizmetlerini geliştirmeyi iddia eden uygulamaları veya eklentileri indirirken özellikle dikkatli olmalıdır.

Bu kampanyaların keşfi, mobil casus yazılım işlemlerinin gelişen sofistike olmasını ve iletişim uygulamalarını indirirken, özellikle belirli uygulamaların resmi kanallar aracılığıyla kısıtlanamayacağı veya kullanılamayacağı bölgelerde uyanıklığı sürdürmenin önemini vurgulamaktadır.

IOC

Anında güncellemeler almak ve GBH’yi Google’da tercih edilen bir kaynak olarak ayarlamak için bizi Google News, LinkedIn ve X’te takip edin.