Android truva atı Manic, sahte bir bankacılık ekranı kullanmadan PIN kodlarını çalar

Hollandalı güvenlik firması ThreatFabric, 20 Ağustos'ta daha önce belgelenmemiş bir Android tehdidi hakkında bir rapor yayınladı. Bu kötü amaçlı yazılım Manic olarak adlandırılıyor ve genellikle birbirinden ayrı kalan iki unsuru birleştiriyor: para çalmak için tasarlanmış bir bankacılık truva atı ile sahibini izlemek için tasarlanmış bir casus yazılım. Kampanya esas olarak Ukrayna'yı hedef alıyor. Hedef listesi ayrıca Almanya, Polonya, Çek Cumhuriyeti, Slovakya, Avusturya, Fransa, İspanya, Hollanda, Estonya, Litvanya ve Birleşik Krallık’taki bankaları ve bu ülkelerin birçoğundaki devlet e-kimlik uygulamalarını da kapsamaktadır.

Toplamda Manic, tek tek uygulamaların teknik tanımlayıcıları olan 169 paket kimliğini izliyor. Liste; bankalar, ödeme hizmetleri, “şimdi al sonra öde” hizmetleri, para transferleri, kripto borsaları ve cüzdanlar, mesajlaşma uygulamaları, tarayıcılar, e-posta istemcileri, devlet e-kimlik uygulamaları ve oturum açarken ikinci faktörü oluşturan kimlik doğrulama uygulamalarını kapsıyor. ThreatFabric, ilk altyapının izini Şubat 2026’ya kadar sürmüştür. Temmuz ayında, daha güçlü analiz önleme kontrollerine sahip yeniden düzenlenmiş bir sürüm ortaya çıkmıştır.

PIN kodu normal şekilde ilerliyor ve sahte bir banka ekranı görünmüyor

Klasik bir bankacılık truva atı, gerçek uygulamanın üzerine kopyalanmış bir banka arayüzü yerleştirir. Yeterince dikkatli bakarsanız bunu fark edebilirsiniz. Manic ise farklı şekilde çalışır. Hedef uygulamanın içinde sayısal tuş takımı bulduğunda, tam olarak bu tuşların üzerine şeffaf bir yüzey yerleştirir. Kullanıcı dokunduğunda Manic, konumu kaydeder, kendi dokunma yakalama işlevini kısa süreliğine devre dışı bırakır ve Android’in erişilebilirlik hizmetleri aracılığıyla aynı noktada dokunmayı tekrarlar. Bankacılık uygulaması girişi normal şekilde alır ve işlemine devam eder. Ekranda hiçbir şey ters görünmez. PIN kodu yine de saldırganın eline geçer. Bu yöntem, saldırının insanların bir terslik olduğunu fark etmek için güvendikleri işareti tam olarak hedef aldığı diğer dolandırıcılık vakalarında da görülür.

ThreatFabric’in autoEnterPin adını verdiği ikinci bir işlev, kilit ekranında çalışır ve önceden yakalanan bir PIN kodunu veya desenini kendi kendine girmeye çalışır. Erişilebilirlik hizmetleri aynı zamanda bir tuş kaydedici görevi de görür. Manic, yakalanan girdileri önceden kilit ekranı girişi, kripto cüzdanı için kurtarma ifadesi, dört ila altı basamaklı SMS kodu veya şifre gibi görünüp görünmediğine göre sınıflandırır.

Çıkış yolu olarak ikinci bir virüslü telefon

En sıra dışı kısım, verilerin nasıl dışarı çıktığıdır. Virüs bulaşmış bir cihaz saldırganların sunucusuna erişemiyorsa, Manic topladığı verileri şifreler ve bir kuyruğa yerleştirir. Ardından Wi-Fi Direct, Bluetooth veya Bluetooth Low Energy üzerinden sinyal menzili içinde başka bir virüs bulaşmış telefon arar ve o telefonun çevrimiçi olup olmadığını kontrol eder. Bir telefon bulursa, veri paketi oraya aktarılır ve oradan da sunucuya gönderilir. Varsayılan olarak en fazla dört aktarım adımı yapılandırılmıştır.

Pratikte bu, yakınlarda ikinci bir virüs bulaşmış cihaz olduğu sürece, bir telefonu ağdan çıkarmak sızıntıyı mutlaka durdurmayacağı anlamına gelir. Bu, çalınan bir oturum çerezi nedeniyle ikinci faktörün anlamsız hale geldiği iki faktörlü oturum açma yöntemindeki düşünce hatasıyla aynıdır.

Nasıl tespit edilir

Manic, cihazı ele geçiren bir sarmalayıcı ve implantın kendisi olmak üzere iki parçadan oluşur. Paket adları, tanınmış üreticilerin sistem bileşenlerine benzeyecek şekilde seçilmiştir. ThreatFabric, tech.intel.dialer.updater, org.honor.secure.helper, org.lenovo.storage.processor, dev.huawei.media.helper, tech.apple.dialer.scheduler ve io.motorola.secure.executor adlarını listelemektedir. Temmuz sürümü, simgesini uygulama çekmecesinden kaldırır; böylece menüde artık hiç görünmez.

Her şey iki izne bağlıdır: erişilebilirlik hizmetleri ve bildirim erişimi. Bir sorun olup olmadığını kontrol etmek için Android ayarlarında erişilebilirlik bölümünü açın ve orada listelenen hizmetlere bakın. Kasıtlı olarak yüklediğiniz bir yardımcı uygulamaya açıkça ait olmayan her şey devre dışı bırakılmalıdır. Aynısı bildirim erişimi için de geçerlidir. Manic ayrıca otomatik dokunmalar yoluyla Google Play Protect’i devre dışı bırakmaya çalışır; bu nedenle Play Store’a da bir göz atmakta fayda var.

ThreatFabric, kaç cihazın etkilendiğini belirtmiyor ve tek bir ülkeye ait enfeksiyon rakamları da mevcut değil. En basit koruma yöntemi hâlâ eskisiyle aynıdır. Bağlantılardan veya üçüncü taraf portallardan APK dosyalarını yüklemeyin; sayfa tanınmış bir satıcıya benziyor olsa bile bunu yapmayın.