Android bankacılık zararlıları ToxicPanda’nın yeni sürümü ve GoldDigger’ın güncel kampanyası, mobil cihazların ekranına, PIN bilgilerine ve bankacılık oturumlarına doğrudan erişerek cihaz içi dolandırıcılığı daha ileri taşıyor. Yapılan son analizler, ToxicPanda 2.0’ın 167 uzaktan komut desteklediğini, 16 ülkedeki 349 finans kuruluşunu hedef aldığını ve GoldDigger’ın da Güney Afrika ile Birleşik Krallık’ta sahte uygulamalar üzerinden yaygınlaştırıldığını gösteriyor.
Uzmanlara göre ToxicPanda, en az Temmuz 2022’den bu yana sahada aktif. Zararlının yeni sürümü, Android’in erişilebilirlik servislerini kullanarak ekrandaki tüm arayüz öğelerini okuyabiliyor, sahte katmanlarla kimlik bilgisi ve kilit ekranı PIN’i toplayabiliyor. Önceki sürüm yalnızca 16 bankacılık uygulamasını hedeflerken, güncel varyantın kapsamı bankalar, kripto para uygulamaları ve finansal kurumlar açısından çok daha geniş bir listeye çıkmış durumda.
ToxicPanda 2.0 erişilebilirlik servislerini saldırı zincirine çevirdi
İncelemeye göre ToxicPanda 2.0, komut ve veri alışverişi için önce HTTPS isteği gönderiyor, ardından çift yönlü WebSocket bağlantısı kuruyor. Bu kanal üzerinden saldırganlar cihazda hangi adımın çalışacağını belirliyor, zararlı da arka planda bu talimatları uyguluyor. Yeni sürüm, daha önce yer almayan bazı komutları da hayata geçirmiş durumda.
Zimperium zLabs araştırmacısı Vishnu Pratapagiri, zararlının Android erişilebilirlik servisinden yararlanarak ekrandaki her UI öğesini çekebildiğini, bunun da 16 ülkedeki 349 finans kuruluşunu hedefleyen bir overlay tabanlı kimlik avı mekanizmasıyla birlikte çalıştığını belirtti. Aynı araştırmaya göre bu sayı, önceki sürümde hedeflenen 16 bankacılık uygulamasına kıyasla ciddi bir genişlemeye işaret ediyor.
ToxicPanda 2.0’ın öne çıkan işlevlerinden biri, sahte bir ekran kaplaması üzerinden kilit ekranı PIN’ini toplaması. Zararlı bunun yanında, Bluetooth ya da kablo gerektirmeden Android Wireless Debugging özelliğini kötüye kullanmaya dönük otomatik bir tıklama mekanizması da içeriyor. Saldırgan, erişilebilirlik servisleri üzerinden önce Geliştirici Seçenekleri’ni açtırıyor, ardından kablosuz hata ayıklamayı etkinleştirerek Android Debug Bridge üzerinden ayrıcalık yükseltmeye ve shell seviyesinde erişime kapı aralıyor.
Yeni sürüm ayrıca cihaz sahibini Device Administrator yetkisi vermeye ikna etmeye çalışan bir istem gösteriyor. Bu izin alındıktan sonra zararlı, cihazın yerel kilit ekranı PIN’ini ya da parolasını saldırganın belirlediği bir değerle değiştirebiliyor. Cihazın üreticisini tanımlamak için profil çıkarma da yapılıyor; böylece farklı OEM modellerinde pil optimizasyonu engelleri aşılabiliyor ve arka plan çalışması kesintisiz sürdürülüyor.
Arka plandaki kamuflaj da güncellenmiş durumda. ToxicPanda 2.0, tam ekran “sistem güncellemesi” görüntüleriyle kullanıcıyı oyalıyor, buna paralel olarak görünmez ve şeffaf bir katman açarak dokunma hareketlerini yakalıyor ve PIN girişlerini topluyor. Benzer bir örtüleme yaklaşımı daha önce yeni keşfedilen Manic Android zararlısında da görülmüştü.
Kampanyanın dağıtım tarafında da değişiklik var. Son numuneler Amazon AWS üzerinde barındırılan bucket’lar üzerinden teslim ediliyor. Bu tablo, saldırganların zararlı yazılım dağıtımında doğrudan bulut altyapısından yararlanmaya başladığını gösteriyor.
ToxicPanda’nın komuta ve kontrol altyapısı, cihazdan alınan ilk HTTPS bağlantısından sonra WebSocket oturumu kurarak devam ediyor. Bu yapı, saldırganın komut göndermesini, verileri çekmesini ve cihaz üzerindeki faaliyeti uzaktan yönetmesini sağlıyor.
Yeni sürümün davranışları arasında, cihazda tüm arka plan işlemlerinin kesintiye uğramadan sürmesi için pil optimizasyonu dışı kalma taleplerini erişilebilirlik servisleriyle otomatikleştirme de yer alıyor. Böylece zararlı, kullanıcının fark etmesini zorlaştıran bir kalıcılık katmanı oluşturuyor.
Pratapagiri’nin aktardığına göre, önceki nesilde bulunmayan bir dizi komut artık çalışır durumda. Bu komutlar arasında cihazın kilidini aşma, yetki yükseltme ve kullanıcı etkileşimini taklit eden otomasyon adımları öne çıkıyor.
Android ekosisteminde erişilebilirlik servislerinin kötüye kullanımı yeni değil; ancak ToxicPanda 2.0, bu mekanizmayı ekran içeriği okuma, sahte katman yerleştirme, kablosuz hata ayıklamayı açtırma ve oturum yönetimi gibi birbirini tamamlayan adımlarla tek bir saldırı zincirine dönüştürüyor.
GoldDigger, Güney Afrika ve Birleşik Krallık’ta sahte uygulamalarla yayılıyor
İkinci kampanyada yer alan GoldDigger, ilk kez Ekim 2023’te cihaz içi dolandırıcılık yapabilen bir Android bankacılık trojanı olarak belgelenmişti. Zararlı, GoldFactory adlı ve Çince konuşan bir tehdit aktörüyle ilişkilendiriliyor. Aynı gruba GoldPickaxe, GoldDiggerPlus ve GoldKefu gibi Android ve iOS odaklı başka zararlı aileler de bağlanıyor.
IBM Trusteer’in incelemesine göre GoldDigger, kodunu ve kaynaklarını gizlemek için “dpt-shell” adlı gelişmiş bir packer kullanıyor. Bu katman yalnızca gizleme sağlamıyor; aynı zamanda tersine mühendisliği zorlaştırmak için birkaç kaçınma tekniği de içeriyor. Zararlı kendi yerel mantığını şifreliyor, Frida işlemine bağlanıldığını fark ederse çöküyor ve PTRACE sistem çağrısını kullanarak harici hata ayıklayıcıların eklenmesini engelliyor.
Aktif kampanya ağırlıklı olarak havayolu şirketleri ve alışveriş perakendecileri gibi görünen sahte uygulamalara dayanıyor. Bu dağıtım yöntemi, özellikle Güney Afrika ve Birleşik Krallık’ta yoğun enfeksiyonlara yol açmış durumda. Uygulamayı yükleyen kurbanlardan erişilebilirlik servisleri izni isteniyor; zararlı da bu yetkiyi kötüye kullanıyor.
IBM Trusteer araştırmacısı Shahar Tavor Lusky, GoldDigger’ın bankacılık uygulamasına kullanıcı etkileşimini taklit edecek şekilde giriş yaptırabildiğini, düğmelere basabildiğini, metin yazabildiğini ve jest hareketleri oluşturabildiğini söyledi. Aynı teknikle saldırgan, kurbanın bankacılık uygulamasından kendi kontrolündeki işlemleri başlatabiliyor.
GoldDigger ayrıca ekrana gerçek zamanlı erişim sağlayabiliyor, sahte kaplamalarla bankacılık uygulamalarına girilen kimlik bilgilerini toplayabiliyor ve hedef uygulamayı sanal bir ortam içinde çalıştırabiliyor. Bu sanal yürütme düzeni, saldırganın uygulamanın çalışma anını görmesine ve oturum sırasında hassas verileri anlık olarak yakalamasına imkân veriyor.
Zararlının komuta ve kontrol yapısı da WebSocket tabanlı. Bu bağlantı üzerinden erişilebilirlik ve konum izinleri istenebiliyor, erişilebilirlik servisleriyle herhangi bir uygulamadan giriş alınabiliyor, kişiler ve SMS mesajları toplanabiliyor, ses ve video kaydedilip RTMP protokolüyle C2 sunucusuna aktarılabiliyor, belirli URL’ler açtırılabiliyor ve Google Play Store ile Ayarlar gibi uygulamalar doğrudan başlatılabiliyor.
GoldDigger’ın bu kampanyası, cihazı ele geçirmenin ötesine geçip kurbanın bankacılık oturumunu canlı şekilde manipüle eden bir akış kuruyor. Zararlı, uygulama içi etkileşimi taklit ederek işlem başlatıyor, kullanıcıyı taklit eden dokunuşlar ve girişler üzerinden para transferi ya da benzeri eylemleri tetikleyebiliyor.
Her iki kampanya da Android’de erişilebilirlik servislerinin nasıl sistematik biçimde suistimal edildiğini, overlay tekniklerinin hâlâ etkili olduğunu ve mobil bankacılık saldırılarının doğrudan cihaz üzerinde yürütülen dolandırıcılık aşamasına kaydığını gösteriyor. ToxicPanda 2.0 daha geniş hedef listesi, daha fazla komut ve kablosuz hata ayıklama istismarıyla öne çıkarken, GoldDigger gerçek zamanlı ekran erişimi ve sanal ortam içinde uygulama denetimiyle fark yaratıyor.
Güvenlik ekipleri, kurulu uygulamaları gözden geçirip tanımadıkları ya da şüpheli görünen yazılımları kaldırmayı; izinleri vermeden önce tek tek denetlemeyi; uygulamaları yalnızca güvenilir kaynaklardan ve geliştiricilerden indirmeyi; cihazları güncel tutmayı; çevrim içi hesaplarda iki aşamalı doğrulamayı etkinleştirmeyi ve banka hesaplarını olağandışı hareketlere karşı izlemeyi öneriyor.
GoldDigger ve ToxicPanda’nın güncel kampanyaları, mobil bankacılık dolandırıcılığında komuta-kontrol bağlantısı, sahte katman, erişilebilirlik kötüye kullanımı ve cihaz içi otomasyonun birlikte çalıştığı bir saldırı modelinin yerleştiğini ortaya koyuyor.