Son dönemde keşfedilen ZeroDayRAT, Android 5’ten 16’ya ve iOS 26’ya kadar geniş bir sürüm aralığını destekleyen, çok platformlu bir mobil casus yazılım aracıdır. Telegram üzerinden pazarlanan bu zararlı yazılım, kullanıcıların konumu, mesajları, uygulama kullanımı ve finansal bilgileri gibi kritik verileri gerçek zamanlı olarak ele geçirebiliyor.
Saldırının Genel Çerçevesi
ZeroDayRAT, sosyal mühendislik teknikleri ve sahte uygulama mağazaları aracılığıyla yayılıyor. Zararlı ikili dosyalar, operatörlerin kendi sunucularında barındırdığı çevrimiçi panellerden oluşturucu (builder) kullanılarak üretiliyor. Enfekte cihazlarda model, pil durumu, SIM bilgileri, uygulama bildirimleri ve SMS önizlemeleri gibi detaylar toplanıyor. Ayrıca, GPS koordinatları Google Haritalar üzerinde gösterilerek hedefin hareketleri izlenebiliyor.
Panel üzerinden erişilen hesaplar arasında Google, WhatsApp, Instagram, Facebook, Telegram ve çeşitli finansal platformlar bulunuyor. Tuş kaydı, canlı kamera ve mikrofon yayını gibi özelliklerle gözetim kapasitesi artırılıyor. MetaMask, Trust Wallet, Binance ve Coinbase gibi cüzdan uygulamalarından çalınan veriler, saldırganların kontrolündeki cüzdanlara yönlendiriliyor. Apple Pay, Google Pay, PayPal ve Hindistan merkezli UPI protokolü kullanan PhonePe gibi platformlar da banka stealer modülüyle hedefleniyor.
Saldırı Zinciri ve Teknik Detaylar
- Başlangıç: Sosyal mühendislik ve sahte uygulama mağazaları üzerinden zararlı APK/IPA dosyalarının dağıtımı.
- Enfeksiyon: Kullanıcı izinleriyle tuş kaydı, SMS toplama ve canlı kamera/mikrofon erişimi sağlanması.
- Veri Toplama: Cihaz bilgileri, konum, uygulama kullanımı ve hesap detaylarının toplanması.
- Finansal Hırsızlık: Kripto cüzdan ve mobil ödeme uygulamalarından veri çalma ve yönlendirme.
Mobil Zararlı Yazılım Ekosistemindeki Diğer Tehditler
ZeroDayRAT’ın ortaya çıkışı, son haftalarda gözlemlenen çeşitli mobil zararlı yazılım kampanyalarıyla paralel ilerliyor. Bunlar arasında Hugging Face platformunda barındırılan Android RAT’lar, Google Apps Script kullanan Arsink, Anatsa banka trojanı, İran merkezli deVixor fidye yazılımı ve ShadowRemit sahte para transferi uygulamaları yer alıyor. Ayrıca, WhatsApp odaklı sosyal mühendislik saldırıları ve Pakistan’da GhostChat flört uygulaması üzerinden yayılan casus yazılımlar dikkat çekiyor.
Teknik Özet ve Öneriler
- Kullanılan Araçlar: ZeroDayRAT, MetaMask stealer, banka stealer modülleri, canlı kamera ve mikrofon akışı, tuş kaydı.
- Hedeflenen Platformlar: Android 5-16, iOS 26 ve üzeri.
- Saldırı Zinciri: Sosyal mühendislik → zararlı uygulama kurulumu → cihaz bilgisi ve finansal veri toplama → gerçek zamanlı gözetim ve hırsızlık.
- Önerilen Savunma: Mobil cihazlarda uygulama izinlerinin sıkı kontrolü, çok faktörlü kimlik doğrulama (MFA), güncel EDR çözümleri, uygulama mağazası dışı yüklemelerin engellenmesi, ağ segmentasyonu ve olay müdahale planlarının hazırlanması.
Sistem Yöneticileri ve SOC Ekipleri İçin Pratik Kontrol Listesi
- Mobil cihaz yönetimi (MDM) politikalarını güncel tutarak uygulama yükleme kaynaklarını sınırlandırın.
- Mobil uygulamalara verilen izinleri düzenli olarak denetleyin ve gereksiz erişimleri kaldırın.
- EDR ve SIEM çözümlerinde mobil cihazlardan gelen logları entegre edin ve anormal davranışları izleyin.
- Çok faktörlü kimlik doğrulamayı (MFA) finansal ve kritik uygulamalarda zorunlu hale getirin.
- Phishing ve sosyal mühendislik saldırılarına karşı kullanıcı eğitimlerini artırın.
- Uygulama mağazası dışı kaynaklardan yüklemeleri engellemek için Zero Trust ilkelerini uygulayın.
- Mobil cihazlarda tuş kaydı ve ekran paylaşımı gibi olağan dışı aktiviteleri tespit edecek kurallar oluşturun.
- Olay müdahale (incident response) planlarında mobil tehditlere özel prosedürler geliştirin.
ZeroDayRAT ve benzeri gelişmiş mobil tehditler, hem bireysel kullanıcılar hem de kurumlar için ciddi riskler barındırıyor. Özellikle finansal bilgiler ve kişisel verilerin hedef alındığı bu saldırılar, kapsamlı güvenlik önlemleri ve sürekli izleme gerektiriyor. Mobil cihaz güvenliği, e-posta güvenliği ve ağ segmentasyonu gibi alanlarda alınacak tedbirler, bu tür tehditlerin etkisini azaltmada kritik rol oynuyor.