Siber suç örgütü olan Lemon Group, Guerilla Malware kötü amaçlı yazılımını yaklaşık 9 milyon Android cihaza yerleştirerek çeşitli kötü amaçlı faaliyetler yürütmelerini sağladı.
Buradaki tüm yasadışı faaliyetler arasında kilit olanlardan bahsettik:
- SMS şifrelerini engelleme
- Ters vekiller oluşturma
- WhatsApp oturumlarını kaçırma
- Yakın tarihli bir Trend Micro raporu, saldırganların altyapısının bazı unsurlarının 2016’daki Triada truva atı operasyonuyla benzerlikler gösterdiğini ve bu da iki olay arasında potansiyel bir bağlantı olduğunu ortaya koydu.
Triada, küresel pazar varlığına sahip, bütçeye uygun Çinli markalar tarafından üretilen ve kullanıcılar için önemli bir güvenlik riski oluşturan 42 Android akıllı telefon modeline önceden yüklenmiş olarak keşfedildi.
Kötü amaçlı yazılım dağıtımı
Trend Micro’daki siber güvenlik araştırmacıları, Lemon Grubu tarafından ilk kötü amaçlı yazılım yükleyicilerini cihazlara yüklemek için kullanılan 50’den fazla virüslü ROM tespit etti. Bununla birlikte, cihazlara kötü amaçlı yazılım bulaşmasına yönelik özel yöntem açıklanmamıştır.
Trend Micro, cihazların Limon Grubu tarafından uzlaşmasının aşağıdakiler gibi çeşitli yollarla gerçekleşebileceğini öne sürüyor:-
- Tedarik zinciri saldırıları
- Güvenliği ihlal edilmiş yazılımlar
- Kötü amaçlı yazılım güncellemeleri
İçerdekilerin katılımı
Bunun yanında, Lemon Group’un kötü niyetli olarak değiştirilmiş ürün yazılımı, bir Android telefon satın alınarak ve “ROM görüntüsü” çıkarılarak tanımlandı.”
Değiştirilmiş sistem kitaplığı ‘libandroid_runtime.so ‘ cihazda, saldırganların ana eklentisi “Sloth” u etkinleştiren ve yapılandırmasında belirtilen bir Limon Grubu etki alanını kullanarak iletişim kuran bir DEX dosyasının şifresini çözer ve yürütür.
Guerilla Malware ‘nın eklentileri
Guerrilla kötü amaçlı yazılımının birincil eklentisi, bir dizi yeteneği kapsayan belirli işlevler için tasarlanmış özel eklentilerin yüklenmesinden sorumludur.
Bu yüzden aşağıda Gerilla tarafından kullanılan tüm ek eklentilerden bahsettik ve yeteneklerinden de bahsettik:-
- SMS Eklentisi: SMS tabanlı WhatsApp, JingDong ve Facebook için kullanılan otp’ler bu eklenti tarafından engellenir.
- Proxy Eklentisi: Virüslü telefonlar ters proxy sunucularına dönüştürülebilir ve DoveProxy işleri bunlar aracılığıyla gerçekleştirilebilir.
- Çerez Eklentisi: Facebook çerezlerini çıkarır ve WhatsApp oturumlarının kontrolünü ele geçirirken bunları komut ve kontrol (C2) sunucusuna gönderir ve ardından güvenliği ihlal edilen cihazdan istenmeyen mesajları dağıtır.
- Splash Eklentisi: Meşru uygulamalar kullanıldığında kurban müdahaleci reklamlarla görüntülenir.
- Silent Eklenti: Komut ve kontrol (C & C) görevlerini aldıktan sonra, yükleme izinlerinden sorumlu eklenti, apk meta verilerini ve yükleme ve kaldırma gibi belirtilen eylemleri kullanarak sessiz yüklemeler gerçekleştirir ve ilgili uygulamaları başlatır.
İlginizi Çekebilecek Yazımız: Golang Varyantı macOS’yi Hedefliyor
Etkilenen Ülkeler
180’den fazla ülkedeki cihazlar üzerinde kontrole sahip olan tehdit aktörü, izleme göstergeleriyle ortaya çıktığı üzere enfeksiyonu küresel olarak yaydı.
Aşağıda, etkilenen ilk 10 ülkeden bahsettik:-
Amerika Birleşik Devletleri
Meksika
Endonezya
Tayland
Rusya
Güney Afrika
Hindistan
Angola
Filipinler
Arjantin
Guerilla kötü amaçlı yazılımından etkilenen gerçek Android cihaz sayısı bildirilen sayıdan potansiyel olarak daha önemlidir ve bu başlangıçta tahmin edilenden daha geniş bir enfeksiyon kapsamına işaret eder.
Bunun dışında çeşitli platformlarda SMSPVA hizmetlerine yönelik OTP talepleri oluşturmak için 490.000’den fazla cep telefonu numarasının kullanıldığı tespit edilmiştir.
Bu siber suç sendikasının tek hizmeti, kapsamlı küresel varlıklarını vurgulayarak 500.000’den fazla güvenliği ihlal edilmiş cihaz tanımladı.
Kötü niyetli operasyonları, dünya çapında çok sayıda yeri etkileyen önemli bir erişim sergiliyor.
Haber Kaynağı: Cyber Security News
