İtalya ve Brezilya merkezli aktif kampanyalarda gözlemlenen Herodotus adlı Android Truva Atı, cihaz ele geçirme (DTO) saldırılarında insan benzeri yazım davranışlarını taklit ederek gelişmiş dolandırıcılık önleme sistemlerini aşmayı hedefliyor. ThreatFabric tarafından paylaşılan rapora göre, bu kötü amaçlı yazılım erişilebilirlik servislerini kötüye kullanarak finansal uygulamalarda sahte giriş ekranları gösteriyor, SMS yoluyla gelen iki faktörlü kimlik doğrulama kodlarını çalıyor ve uzaktan APK yükleyebiliyor.
Teknik Özellikler ve Gelişmiş Kaçınma Yöntemleri
Herodotus, Android 9’dan 16’ya kadar geniş bir sürüm aralığında çalışabiliyor ve Brokewell bankacılık Truva Atı ile benzer karmaşıklaştırma teknikleri kullanıyor. Özellikle, metin girişleri arasında 300 ile 3000 milisaniye arasında rastgele gecikmeler ekleyerek, MCP istemcilerinde veya Pydantic AI tabanlı otomasyonlarda görülen makine hızındaki yazım davranışlarından farklı, insan benzeri etkileşimler yaratıyor. Bu sayede, davranış biyometrisi tabanlı dolandırıcılık önleme çözümlerinden kaçınıyor.
Dağıtım ve Yetki İsteme Mekanizmaları
Dropper uygulamalar, Google Chrome gibi paket adlarıyla kamufle edilerek sosyal mühendislik saldırılarıyla SMS oltalama yöntemleriyle dağıtılıyor. REQUEST_INSTALL_PACKAGES izni talep edilerek Google Play dışı APK yüklemeleri gerçekleştiriliyor. Ayrıca, cihazda kilit ekranı PIN veya desenini ele geçirme, çağrı yönlendirme ve KYC formu taklidiyle kart bilgileri, ATM PIN’i ve Aadhaar gibi resmi kimlik bilgileri toplanıyor. Bu teknikler, AsyncRAT benzeri uzaktan erişim araçlarının yeteneklerine benzer şekilde cihazda kalıcılık ve geniş yetki sağlıyor.
Hedefler ve Operasyonel Genişleme
Herodotus, ABD, Türkiye, Birleşik Krallık ve Polonya’daki finansal kurumları hedeflerken, kripto para cüzdanları ve borsalarını da kapsayan operasyonel alanını genişletiyor. Bu durum, konteyner tabanlı altyapılarda rastgele SSH portları kullanılarak komuta kontrol sunucularıyla iletişim kuran gelişmiş tehdit aktörlerinin varlığına işaret ediyor. Operatörler, sadece statik kimlik bilgilerini çalmakla kalmayıp, canlı oturumlarda kalıcılık sağlayan teknikler geliştiriyor.
Bu gelişmeler, CYFIRMA’nın Hindistan’da tespit ettiği GhostGrab adlı Android kötü amaçlı yazılımıyla paralellik gösteriyor. GhostGrab, sistematik banka kimlik bilgisi toplama ve Monero kripto para madenciliği gibi hibrit tehdit özellikleriyle dikkat çekiyor.