Mobil güvenlik şirketi ThreatFabric'e göre Hirudo adlı yeni bir Android zararlısı, bankacılık bilgilerini çalmak için yasal bankacılık uygulamalarını değiştirilmiş kopyalarıyla değiştiriyor. Araştırmacılar sekiz bankacılık uygulamasının zararlı kopyalarını buldu.
Yamalı uygulamalar, özgün kodun neredeyse tamamını koruyor ancak açık kaynaklı YAHFA ve Dobby çerçevelerini temel alan bir kanca motoru yüklüyor. Bu motor, sertifika bilgilerini değiştirerek veya boş listeler döndürerek uygulama imzası, Accessibility ve Play Integrity kontrollerini atlatabiliyor. ThreatFabric, mağdurların süreci iki noktada kesintiye uğratabileceğini belirtiyor.
ThreatFabric, Hirudo'nun en az yedi Endonezya bankasını taklit ettiğini gözlemledi. Zararlı ayrıca Çin, Hindistan, Meksika, Fas ve Tayland'daki finans kuruluşlarını hedef alıyor. Genellikle yükleyici görevi gören, görünüşte yasal alışveriş, yetişkin içeriği veya kısa drama uygulamalarıyla yayılıyor ve sahte güncelleme istemleri gösteriyor.
Yüklendikten sonra Hirudo parolaları, ödeme PIN'lerini, cihaz kilidi sırlarını ve SMS mesajlarını çalabiliyor; ekranı operatörlere aktarabiliyor ve her iki kameraya da erişebiliyor. Sahte ödeme sayfaları PIN'leri topladıktan sonra uydurma ödeme başarı sonuçları gösteriyor. ThreatFabric, zararlıyla birlikte gelen tasdik anahtar kutusuyla ilişkili iki sertifikanın Google tarafından güvenliği ihlal edilmiş olarak listelendiğini buldu; bu nedenle sunucu tarafındaki iptal kontrolleri bu sahtecilikleri tespit edebilir. Araştırmacılar ayrıca güvenli olmayan bir arka uç panelinde binlerce uygulama kimlik bilgisi kaydı ve başka veriler buldu. Mağdur sayısı bilinmiyor.
ThreatFabric, bankaların bütünlüğü sunucu tarafında denetlemesini ve davranışsal kontrollerle işlem riski denetimlerini sürdürmesini öneriyor. Araştırmacılara göre Hirudo, bankacılık uygulamalarının içindeki güvenlik mekanizmalarını hedef almaya yönelik bir değişime işaret ediyor.
Yorumlar
0Henüz yorum yok. İlk yorumu siz yazın.