Meta reklamları üzerinden İspanyolca konuşan kullanıcılara ulaştırılan StreamRat adlı Android Truva atı, enfekte cihazlarda neredeyse tam kontrol sağlayabilecek bir yük olarak öne çıktı. Kampanya özellikle İspanya’yı hedef aldı ve Avrupa Birliği içinde en az bir kez reklamı gören yaklaşık 570.950 Meta hesabına ulaştı; buna karşın enfekte cihaz sayısı ve doğrulanan mağdur sayısı açıklanmadı.
Sahte yayın sitesiyle başlayan kurulum zinciri
Kampanya 11 Haziran 2026’da başladı, 3 Temmuz 2026’da sona erdi ve Temmuz ayının sonlarında fark edildi. Bulgular 2 Eylül 2026’da yayımlandı. ThreatFabric, reklamların Meta tarafındaki ana yerleşimini netleştiremediğini, ancak afişlerin Facebook ve Instagram’da da gösterilmiş olabileceğini belirtti. Aynı kampanyanın TikTok üzerinden de tanıtıldığı, buna ilişkin kamuya açık kanıtın ise açılış sayfası kodunun TikTok’u yönlendiren uygulama olarak tanıyabilmesinden ibaret kaldığı aktarıldı.
Yapılan analizlere göre saldırı, sosyal medyada gösterilen bir bağlantının Android kullanıcılarını özel hazırlanmış bir web sitesine yönlendirmesiyle başlıyor. Site, ziyaretçinin işletim sistemini kontrol ediyor ve indirme düğmesini yalnızca Android cihazlarda gösteriyor. Kullanıcı buradan app.apk adlı dosyayı indiriyor ve APK’yı elle kuruyor.
Kurulumun ilk aşamasında dağıtıcı, kendisini cihazın varsayılan ana ekran uygulaması yapmasını istiyor. Kullanıcı Home tuşuna bastığında cihazı sürekli bu arayüze geri döndürmek için kullanılan bu adımın ardından, asıl yük indirilmeden önce VPN bağlantısı izni talep ediliyor. İzin verilince cihaz trafiği işlevsiz bir arayüze yönleniyor, dağıtıcı ise bu tünelin dışında bırakılıyor. ThreatFabric, bu kesintinin çevrimiçi itibar ve kod analizi kontrollerini zayıflatmaya yardımcı olabileceğini değerlendirdi.
Dağıtıcı ana sayfası daha sonra StreamRat yükünü herkese açık İndirilenler klasörüne update_{timestamp}.apk adıyla indiriyor. Ardından Android’in bilinmeyen kaynaklardan uygulama yükleme izni isteniyor. Bu yetki onaylandıktan sonra yük, Android’in paket kurulum mekanizması üzerinden kuruluyor ve StreamRat çalışmaya başlıyor. Sonraki aşamada kötü amaçlı yazılım Erişilebilirlik erişimi talep ediyor. Kullanıcı bu izni verdikten sonra yazılım komut ve kontrol sunucusuna bağlanıyor.
ThreatFabric’in aktardığına göre VPN arayüzü bu sırada yönlendirilmiş trafiği taşımadığı için diğer uygulamaların internet bağlantısı kurulamıyor. Dağıtıcı, yük devreye girdikten sonra VPN’i kapatıyor ve StreamRat’ın C2 altyapısıyla haberleşmesine izin veriyor. Google Play Protect’in bilinen potansiyel zararlı uygulamalar için çevrimdışı tespiti koruduğu da vurgulandı; şirket, bunun tekniğin hizmet üzerindeki etkisini sınırladığını belirtti.
StreamRat cihazda neler yapabiliyor
ThreatFabric’in değerlendirmesinde, Erişilebilirlik izni verildiğinde operatörlerin tuş vuruşlarını yakalayabildiği, kimlik bilgisi çalan katmanlar gösterebildiği, ekrandaki arayüzü inceleyebildiği ve cihazı uzaktan kontrol edebildiği belirtildi. Şirket, bunun Android kötü amaçlı yazılım ekosisteminde daha önce deneyim kazanmış kişiler tarafından geliştirildiğini ve teknik açıdan gelişmiş yeni bir tehdit olduğunu yazdı. Kampanya herhangi bir tehdit aktörüne doğrudan atfedilmedi.
Görünür ekran kaydı için StreamRat, Android’in MediaProjection uygulama programlama arayüzünü çağırıyor. Bu yöntem ekranda bir onay penceresi açıyor ve normalde bir ekran paylaşım göstergesiyle fark edilebiliyor. Yazılım, kullanıcı Erişilebilirlik iznini verdikten sonra bu onay penceresiyle etkileşime girmek için aynı yetkiyi kullanabiliyor. İkinci bir yöntem ise takeScreenshot() çağrısıyla ekran görüntüsü alıyor; bu yöntem MediaProjection göstergesinin dışında çalışıyor.
ThreatFabric, StreamRat’ın 11 Haziran ile 3 Temmuz 2026 arasındaki kampanyada Meta reklamları üzerinden yayıldığını ve yaklaşık 570.950 Meta hesabına ulaştığını kaydetti. Şirket, İspanya odaklı reklamın Avrupa Birliği içinde en az bir kez görüntülendiğini, fakat enfekte cihaz ve doğrulanmış mağdur sayılarını paylaşmadı. Aynı dönemde TikTok, Facebook ve Instagram kanallarına ilişkin izlerin bulunduğu, ancak bunların erişim ve yerleşim açısından eksik kaldığı ifade edildi.
Raporda, kurulum zincirinin Android kullanıcılarını sahte bir yayın sitesi üzerinden APK indirmeye yönlendirdiği, yükün ise izinler tamamlandıktan sonra devreye girdiği yeniden vurgulandı. Kullanıcıdan istenen yetkiler arasında ana ekran uygulaması olma, VPN bağlantısı kurma, bilinmeyen kaynaklardan uygulama yükleme ve Erişilebilirlik erişimi bulunuyor. ThreatFabric, kullanıcıların bir yayın uygulaması VPN ya da sistem kontrolü isterse kurulumun durdurulması gerektiğini de not etti.
StreamRat’ın TikTok üzerinden de tanıtıldığı belirtildi. Buna ilişkin kamuya açık kanıt, açılış sayfası kodunun TikTok’u yönlendiren uygulama olarak tanıyabilmesinden ibaret kaldı. Raporda herhangi bir TikTok reklam kaydı ya da erişim sayısı paylaşılmadı.
Dosyanın, ThreatFabric’in daha önceki Mirax kampanyasıyla ilişkilendirdiği bir GitHub hesabından geldiği, dağıtıcının da o operasyonda kullanılan sürüme çok benzediği aktarıldı. Cleafy’nin Mirax raporunda droperların GitHub Releases üzerinden barındırıldığı, farklı yedek bağlantılar ve günlük paket güncellemeleri kullanıldığı belirtilmişti.
İncelemeye göre paylaşılan yük örneklerinden biri e0714788b4e2518b0d9d4cbf18c7217bb97718e01689d77338f1cc4a230fcb6c SHA-256 değeriyle io.base.one887 paketli, StrεαmTV Pro adlı uygulamaydı. İkinci örnek ise ba83cc3c9535690191018edf73ca5c6001609df9919462796aa2e551f142e4d3 SHA-256 değeriyle io.meat.hint paketli, Sistema de vídeo adlı uygulama olarak listelendi. Komuta kontrol IP adresleri de 45.147.28[.]59 ve 193.32.2[.]245 olarak paylaşıldı.