ThreatFabric’in son analizine göre Hirudo adlı Android truva atı, Endonezya’daki sekiz bankacılık uygulamasının değiştirilmiş sürümlerini kullanarak yerleşik güvenlik kontrollerini devre dışı bırakıyor.
Araştırmacılar, zararlının resmi uygulama akışını taklit eden bu “patched” sürümler üzerinden kurbanları hedef aldığını ve bankacılık korumalarını atlatmaya çalıştığını belirtti. Kötü amaçlı yazılım böylece uygulamanın kendi iç denetimlerinden geçiyor ve kullanıcı etkileşimi sırasında daha az engelle karşılaşıyor.
Bankacılık uygulamalarının değiştirilmiş sürümleri öne çıkıyor
ThreatFabric’in incelediği örneklerde Hirudo’nun, özellikle Endonezya pazarındaki bankalara ait uygulamaların sekiz farklı değiştirilmiş versiyonunu dolaşıma soktuğu aktarıldı. Saldırganlar burada doğrudan uygulamanın güvenlik mantığıyla çatışmak yerine, o mantığın çalışamayacağı bir paket sunuyor.
Şirketin bulgularına göre zararlı yazılım bu sayede tespit edilmeden daha uzun süre kalabilen bir saldırı hattı kuruyor. Kampanyanın odağında mobil bankacılık işlemleri yer alıyor; amaç ise kullanıcı tarafında çalışan güvenlik denetimlerini aşmak.
Hedefte mobil bankacılık var
Hirudo’nun Android ortamında faaliyet gösterdiği ve bankacılık oturumlarını hedef alan tipik mobil kötü amaçlı yazılım tekniklerinden yararlandığı bildirildi. ThreatFabric, kullanılan değiştirilmiş uygulamaların normal kullanıcı deneyimini taklit ederek kurbanı ikna etmeyi kolaylaştırdığını, ardından da güvenlik katmanlarının etkisiz bırakılabildiğini vurguladı.
Raporda kampanyanın Endonezya bankacılık ekosistemine odaklandığı özellikle yer aldı. Zararlının dağıtımında hangi ilk erişim yöntemi kullanıldığı metinde paylaşılmadı, ancak ana teknik unsurun bankacılık uygulamalarının yamalanmış sürümleri üzerinden güvenlik kontrollerinin aşılması olduğu kaydedildi.