Giriş
Son dönemde siber suçlular, kullanıcıları sahte Google hesap güvenlik sayfaları aracılığıyla tuzağa düşürmeyi amaçlayan bir phishing kampanyası başlattı. Bu saldırı, bir Progressive Web App (PWA) kullanarak, kullanıcılara zarar vermeyi ve hassas bilgileri çalmayı hedefliyor.
Saldırı Nasıl Çalışıyor?
Saldırı, kullanıcıların bir güvenlik kontrolü yapması gerektiği yönündeki sosyal mühendislik taktikleri ile başlıyor. Bu yöntemle, kullanıcılar gerekli izinleri vermeye ikna ediliyor. Saldırganlar, sahte bir Google güvenlik hizmeti olan google-prism[.]com alan adını kullanarak, kullanıcıları bir dört adımlı kurulum süreci ile malware’yi yüklemeye yönlendiriyorlar.
- Kullanıcılardan kritik izinlerin alınması.
- Gerçek zamanlı GPS verileri ve panoya kopyalanan içeriklerin ele geçirilmesi.
- Ayrıca, kullanıcının tarayıcısını kullanarak veri iletimine olanak tanıyan bir ağ proxy’si olarak görev yapması.
Saldırganlar, kullanıcının panosundaki metinlere ve görsellere erişim izni talep ediyor ve bu yalnızca uygulama açıkken gerçekleşiyor. Ayrıca, WebOTP API’si kullanılarak SMS doğrulama kodlarını yakalamaya çalışıyorlar.
Etkilenen Sistemler
Saldırı, tüm Chromium tabanlı tarayıcılarda etkili olabilen bir yapıya sahip. Dolayısıyla, kullanıcılar bu tür tarayıcılar (örneğin, Google Chrome ve Microsoft Edge) ile tehdit altında. Safari ve Firefox gibi diğer tarayıcılarda bazı yetenekler kısıtlı olsa da, sahte bildirimlerin çalışabilmesi nedeniyle kullanıcılar hala risk altındalar.
Çözüm ve Korunma
Malwarebytes araştırmacıları, bu tür saldırılardan korunmak için önerilerde bulunmaktadır. Kullanıcıların dikkat etmesi gereken en önemli noktalar şunlardır:
- Kötü niyetli APK dosyasını bulmak için yüklü uygulamalar arasında “Security Check” uygulaması arayın ve öncelikle bunu kaldırın.
- Eğer “System Service” adlı bir uygulama mevcutsa ve cihaz yöneticisi yetkisine sahipse, bunu Ayarlar > Güvenlik > Cihaz yöneticisi uygulamaları bölümünden iptal edin ve ardından kaldırın.
- Malwarebytes, sahte PWA’yı kaldırmak için hem Chromium tabanlı tarayıcılarda hem de Safari’de ayrıntılı adımlar sunmaktadır.
Kullanıcıların, gerçek güvenlik kontrollerinin pop-up bildirimler veya web sayfaları üzerinden yapılmadığını bilmesi önemlidir. Tüm güvenlik araçları için myaccount.google.com adresini ziyaret etmeleri gerekmektedir.
Sonuç
Bu tehlikelerin farkında olarak kullanıcıların, cihazlarını ve hesaplarını korumak için gerekli güncellemeleri yapmaları büyük önem taşımaktadır. Malicious APK ve PWA’yı kaldırarak, risklerini minimize edebilir ve güvenliklerini artırabilirler.
