Siber güvenlik araştırmacıları Pazartesi günü, İtalya, İngiltere ve ABD’deki bankacılık ve kripto para birimi hizmetlerinden kimlik bilgilerini almak için cihazlardaki erişilebilirlik özelliklerinden yararlanan yeni bir Android trojanının örtüsünü kaldırdı. Peki bu Sharkbot nedir?
Cleafy tarafından “SharkBot” olarak adlandırılan kötü amaçlı yazılım, İtalya ve Birleşik Krallık’taki 22 isimsiz uluslararası bankanın yanı sıra ABD’deki beş kripto para uygulaması dahil olmak üzere toplam 27 hedefi vurmak üzere tasarlandı ve en azından Ekim 2021’in sonundan bu yana gelişiminin ilk aşamalarında, bilinen herhangi bir sorunla karşılaşılmadı.
Araştırmacılar bir raporda, “Sharkbot’un temel amacı, çok faktörlü kimlik doğrulama mekanizmalarını (örneğin, SCA) atlayarak, tehlikeye atılmış cihazlardan Otomatik Aktarım Sistemleri (ATS) tekniği ile para transferlerini başlatmaktır” dedi.
“SharkBot kurbanın cihazına başarıyla yüklendikten sonra, saldırganlar kimlik bilgileri, kişisel bilgiler, cari bakiye vb. Erişilebilirlik Hizmetlerinin kötüye kullanılması yoluyla hassas bankacılık bilgilerini alabilirler.”
Bir medya oynatıcı, canlı TV veya veri kurtarma uygulamaları olarak maskelenen SharkBot, diğer kötü amaçlı yazılım meslektaşları TeaBot ve UBEL gibi, art arda haydut pop-up’ları olan kullanıcılara yalnızca hassas bilgileri çalmak için geniş izinler vermelerini ister. Farklı oldukları nokta, operatörlerin “meşru mobil bankacılık uygulamalarındaki alanları otomatik olarak doldurmasına ve tehlikeye atılan cihazlardan [tehdit aktörü] tarafından kontrol edilen bir para katır ağına para transferleri başlatmasına izin veren ATS saldırılarını gerçekleştirmek için erişilebilirlik ayarlarının kullanılmasıdır.”
Yöntem, dolandırıcılık faaliyetlerini gerçekleştirmek için yeni bir cihaz kaydetme ihtiyacını etkin bir şekilde ortadan kaldırırken, bankacılık uygulamaları tarafından uygulanan iki faktörlü kimlik doğrulama mekanizmalarını da atlar.
Ayrıca, kötü amaçlı yazılım artık tüm Android bankacılık trojan boyunca gözlenen tüm özellikler, bu keylogging etkinleştirmek oturum açma kimlik bilgilerini ve kredi kartı bilgilerini, SMS yoluyla gönderilen meşru bankacılık iletişimi kesmek, çalmak kaplama saldırıları gerçekleştirmek için ve tehlikeye cihazların uzaktan kumanda alma yeteneği ile birlikte geliyor.
SharkBot, öykünücü kontrollerini çalıştırma, uzak bir sunucuyla komut ve kontrol iletişimlerini şifreleme ve kurulumdan sonra uygulamanın simgesini ana ekrandan gizleme de dahil olmak üzere, analiz ve algılamadan kaçınmak için attığı adımlar açısından da dikkate değerdir. Resmi Google Play Store’da kötü amaçlı yazılım örneği tespit edilmedi, bu da kötü amaçlı uygulamaların kullanıcıların cihazlarına yandan yükleme veya sosyal mühendislik şemaları yoluyla yüklendiği anlamına geliyor.
Araştırmacılar, SharkBot’un vahşi doğada keşfinin, “mobil kötü amaçlı yazılımların, dolandırıcılık yapmak için nasıl hızla yeni yollar bulduğunu, son yıllarda birden fazla banka ve finansal hizmet tarafından uygulanan davranışsal algılama karşı önlemlerini atlamaya çalıştığını” gösterdiğini söyledi.
