Lab52’den siber güvenlik araştırmacıları, hedef uç noktanın sesini kaydetmenin yanı sıra SMS mesajlarını okuyup gönderebilen Process Manager adlı yeni bir Android kötü amaçlı yazılımı belirlediler.
Kötü amaçlı yazılım, popüler Rus devlet destekli tehdit aktörü Turla ile birkaç benzerlik paylaşıyor gibi görünse de, grup bu özel varyantın veya kampanyanın arkasında değil gibi görünüyor.
Process Manager ve diğer Turla kötü amaçlı yazılımları arasındaki benzerlik, her ikisinin de aynı paylaşılan barındırma altyapısını kullanmasıdır.
Görünürde saklanmak
Process Manager kötü amaçlı yazılımı yüklendiğinde, kurbanları uygulamanın temel bir Android öğesi olduğunu düşünmeleri için kandırmak için dişli şeklinde bir simgeyle birlikte gelir. Bundan sonra, kameraya erişim, cihazın konumu, SMS mesajlarını okuma ve gönderme, arama kayıtlarını ve kişileri okuma, ses kaydetme ve harici depolamayı okuma ve yazma dahil olmak üzere bir düzineden fazla izin elde edecek gibi görünüyor.
Bu izinleri nasıl elde ettiği belli değil – kurbanı bu izinleri vermesi için kandırmaya mı çalışıyor yoksa izinleri kendisine vermek için Android Erişilebilirlik hizmetini kötüye mi kullanıyor.
Bu tehdit aktörü ile Turla arasındaki farklar burada kendini göstermeye başlar. Kötü amaçlı yazılım izinleri alırsa simgesini kaldırır ve arka planda çalışır. Yine de kullanıcı, açılır menüde bulunan kalıcı bildirim sayesinde uygulamanın çalıştığını anlayabilir.
Tehdit aktörünün Process Manager ile ulaşmaya çalıştığı hedef de Turla’ya yakışmıyor. Rus APT’si genellikle siber casuslukla uğraşır. Bu kötü amaçlı yazılım, Play Store’da bulunan popüler bir para kazandıran tavsiye sistemi uygulaması olan Dhan: Earn Wallet Cash’i yükler. Saldırganlar için komisyon kazanmak için uygulamayı yönlendirme sistemi aracılığıyla indirir.
Process Manager’ın nasıl dağıtıldığı da belli değil, ancak büyük olasılıkla kimlik hırsızlığı, sosyal mühendislik ve kimlik avı sitelerinde dolaşıyor.
Üzerinden: BleeBilgisayar
