Crocodilus Bankacılık Truva Atı

Siber güvenlik uzmanları, öncelikli olarak İspanya ve Türkiye'deki kullanıcıları hedef alan Crocodilus adlı yeni bir Android bankacılık kötü amaçlı yazılımını ortaya çıkardı. Mevcut kötü amaçlı yazılımların ilkel sürümleri olarak başlayan birçok yeni tehdidin aksine, Crocodilus siber suç dünyasına tam gelişmiş, sofistike bir bankacılık Truva Atı olarak giriyor.

Maksimum Hasar İçin Gelişmiş Teknikler

Crocodilus modern teknikleri şu şekilde kullanıyor:

• Uzaktan kontrol yetenekleri
• Varlığını gizlemek için siyah ekran kaplamaları
• Erişilebilirlik kaydı aracılığıyla gelişmiş veri toplama

Diğer bankacılık Truva atları gibi, bir Cihazı (DTO) ele geçirmeyi ve siber suçluların hileli işlemler yapmasına izin vermeyi amaçlıyor. Kaynak kodunun ve hata ayıklama mesajlarının daha derin bir analizi, kötü amaçlı yazılım yazarının Türkçe konuştuğunu gösteriyor.

Algılanmayı Önlemek İçin Google Chrome Kılığına Girdi

Crocodilus, Google Chrome (paket adı: 'quizzical.washbowl.calamity') gibi davranarak Android 13+ güvenlik kısıtlamalarını aşmak için tasarlanmıştır. Sahte uygulama yüklendikten sonra erişilebilirlik hizmeti izinleri ister ve bu da cihaz üzerinde tam kontrol sağlar.

Etkinleştirildiğinde, uzak bir Komuta ve Kontrol (C2) sunucusuna bağlanır:

• Daha fazla talimat alın
• Hedeflenen finansal uygulamaların listesini alın
• Kullanıcı kimlik bilgilerini çalmak için HTML katmanları dağıtın

Kripto Para Cüzdanları Hedefte

Crocodilus sadece bankacılık uygulamalarıyla sınırlı kalmıyor; aynı zamanda kripto para cüzdanlarını da hedef alıyor. Sahte bir giriş sayfası kullanmak yerine, kurbanları sahte bir yedekleme uyarısıyla kandırıyor ve tohum ifadelerini 12 saat içinde kaydetmeleri veya varlıklarını kaybetme riskine girmeleri konusunda uyarıyor.

Bu sosyal mühendislik taktiği, kurbanları erişilebilirlik hizmeti kötüye kullanımı yoluyla hasat edilen tohum ifadelerine yönlendirmeye yönlendirir. Saldırganlar bu bilgilerle cüzdanın kontrolünü ele geçirebilir ve fonlarını boşaltabilir.

Sürekli İzleme ve Kimlik Hırsızlığı

Crocodilus, uygulama başlatmalarını yakından izleyerek ve kimlik bilgilerini ele geçirmek için katmanları tetikleyerek arka planda sürekli çalışacak şekilde tasarlanmıştır. Şunları yapabilir:

• Tüm erişilebilirlik olaylarını izleyin
• Ekranda görüntülenen tüm öğeleri yakalayın
• İki faktörlü kimlik doğrulamayı atlatmak için Google Authenticator'ın ekran görüntülerini alın

Crocodilus, bunu yaparak operatörlerinin herhangi bir oturum açma etkinliğini fark etmemesini sağlıyor.

Gizli Mod: Zararlı Aktiviteleri Gizleme

Fark edilmemek için Crocodilus çeşitli gizli taktikler kullanır, bunlardan bazıları şunlardır:

• Yetkisiz etkinlikleri gizlemek için siyah ekran kaplaması görüntüleniyor
• Mağdurların şüpheli uyarıları duymasını önlemek için sesleri susturma

Bu önlemler, mağdurların cihazlarının tehlikeye girdiğini fark etmelerini çok daha zor hale getiriyor.

Zararlı Özelliklerden Oluşan Güçlü Bir Cephanelik

Crocodilus, enfekte bir cihazın tam kontrolünü ele geçirmesine olanak tanıyan bir dizi tehdit edici yetenekle tasarlanmıştır. Belirli uygulamaları başlatabilir, tespit edilmekten kaçınmak için kendisini cihazdan kaldırabilir ve kullanıcı davranışını manipüle etmek için anlık bildirimler gönderebilir. Kötü amaçlı yazılım ayrıca seçili veya tüm kişilere SMS mesajları gönderme, kişi listelerini alma ve yüklü uygulamaların bir listesini alma yeteneğine sahiptir ve saldırganlara kurbanın dijital ayak izinin kapsamlı bir görünümünü verir.

Ek olarak, Crocodilus SMS mesajlarını okuyabilir, daha derin bir kontrol elde etmek için Cihaz Yöneticisi ayrıcalıkları talep edebilir ve güvenli olmayan aktivitelerini gizlemek için siyah bir kaplama modunu etkinleştirebilir. Komuta ve Kontrol (C2) sunucu ayarlarını düzenli olarak güncelleyerek operatörlerinden gelen yeni talimatlara uyum sağlayıp yanıt verebilmesini sağlar. Gizli operasyonlarını daha da ileri götürmek için sesi etkinleştirebilir veya devre dışı bırakabilir, kullanıcı girdilerini yakalamak için tuş kaydını açabilir ve hatta kendisini varsayılan SMS yöneticisi yapabilir, böylece iletişimleri tespit edilmeden kesebilir ve manipüle edebilir.

Crocodilus: Yeni Bir Mobil Bankacılık Tehdidi

Crocodilus'un ortaya çıkışı, mobil bankacılık kötü amaçlı yazılım karmaşıklığında güvenli olmayan bir tırmanışa işaret ediyor. Yeni keşfedilen birçok tehditten farklı olarak, Crocodilus en başından itibaren olgunlaşmış olup, kullanıcıları tehlikeye atmak için gelişmiş Cihaz Ele Geçirme tekniklerinden, uzaktan kontrol özelliklerinden ve siyah kaplama saldırılarından yararlanıyor.

Gizli çalışması ve güçlü özellikleriyle bu kötü amaçlı yazılım, Android bankacılık tehditleri için yeni bir emsal oluşturuyor ve siber suçluların güvenlik önlemlerinin önünde kalmak için taktiklerini sürekli olarak geliştirdiklerini kanıtlıyor.