Datzbro Bankacılık Truva Atı

Siber güvenlik araştırmacıları, daha önce belgelenmemiş bir Android bankacılık truva atı olan Datzbro'yu yakın zamanda ortaya çıkardı. Bu truva atı, cihaz ele geçirme (DTO) saldırıları gerçekleştirmek ve sahte finansal işlemler gerçekleştirmek için tasarlanmış. Bu kötü amaçlı yazılım, öncelikli olarak yaşlı kullanıcıları hedef alıyor ve sosyal medya tabanlı sosyal mühendislik kampanyaları aracılığıyla güvenlerini suistimal ediyor.

Facebook Grupları Aracılığıyla Sosyal Mühendislik

Kampanya, Avustralyalı kullanıcılardan gelen bildirimlerin ardından ilk olarak Ağustos 2025'te tespit edildi. Tehdit aktörleri, sosyal aktiviteler, etkinlikler ve yüz yüze toplantılarla ilgilenen yaşlı bireyleri hedef alan "aktif yaşlı gezileri"ni tanıtan Facebook grupları yönetti. Etkilenen diğer bölgeler arasında Singapur, Malezya, Kanada, Güney Afrika ve Birleşik Krallık yer alıyor.

Bu Facebook grupları, yaşlılar için etkinlikler düzenlediklerini iddia ederek yapay zeka tarafından üretilen içerikleri sık sık paylaşıyor. Hedef kitle ilgi gösterdiğinde, saldırganlar Facebook Messenger veya WhatsApp üzerinden onlara ulaşarak sahte bir bağlantıdan (örneğin, download.seniorgroupapps.com) bir APK dosyası indirmelerini istiyor.

Sahte web siteleri, yaşlıların şunları yapabileceğini iddia ederek sözde bir topluluk uygulamasını tanıtıyor:

• Etkinliklere ve aktivitelere kayıt olun.
• Diğer grup üyeleriyle bağlantı kurun.
• Yaklaşan programları takip edin.

Bazı siteler, iOS uygulamalarına yönelik yer tutucu bağlantılar bile içeriyor. Bu da saldırganların hem Android hem de iOS kullanıcılarını hedef aldığını, kurbanları kandırmak amacıyla iOS için TestFlight uygulamaları dağıttığını gösteriyor.

Datzbro Cihazları Nasıl Etkiliyor?

Bir kurban Android uygulamasını indirdiğinde şunlardan biri gerçekleşir:

• Kötü amaçlı yazılımı doğrudan cihaza yükler veya
• Android 13 ve sonraki sürümlerde güvenlik kısıtlamalarını aşan bir APK bağlama hizmeti olan Zombinder ile oluşturulmuş bir dropper dağıtır.

Datzbro'yu dağıtan birkaç kötü amaçlı uygulama tespit edildi, bunlar arasında şunlar yer alıyor:

• Kıdemli Grup (twzlibwr.rlrkvsdw.bcfwgozi)
• Canlı Yıllar (orgLivelyYears.browses646)
• ActiveSenior (com.forest481.security)
• DanceWave (inedpnok.kfxuvnie.mggfqzhl)
• Kullanıcı adı (io.mobile.Itool)

• 麻豆传媒 (fsxhibqhbh.hlyzqkd.aois)

• Ses (mobi.audio.aassistant)

• 谷歌浏览器 (tvmhnrvsp.zltixkpp.mdok)

• MT管理器 (varuhphk.vadneozj.tltldo)

• MT理器 (spvojpr.bkkhxobj.twfwf)

• (mnamrdrefa.edldylo.zish)

• MT理器 (io.red.studio.tracker)

Yetenekler ve Finansal Tehditler

Datzbro, aşağıdakiler de dahil olmak üzere çok çeşitli casus yazılım ve finansal dolandırıcılık işlevlerine sahiptir:

• Ses kaydı ve fotoğraf çekimi.
• Dosyalara ve fotoğraflara erişim.
• Üst üste saldırılar, tuş kaydı ve uzaktan cihaz kontrolü gerçekleştirmek.
• Mağdur adına otomatik eylemler gerçekleştirmek için Android erişilebilirlik hizmetlerini kullanmak.

Öne çıkan özelliklerden biri, saldırganlara tüm ekran öğeleri, konumları ve içerikleri hakkında ayrıntılı bilgi gönderen şematik uzaktan kumanda modudur. Bu sayede, saldırganlar arayüzü kopyalayıp cihazı uzaktan tamamen kontrol edebilirler.

Ayrıca Datzbro şunları yapabilir:

• Kötü amaçlı faaliyetleri gizlemek için özel metin içeren yarı saydam katmanlar görüntüleyin.
• Alipay ve WeChat için cihaz kilit ekranı PIN'lerini ve şifrelerini çalın.
• Bankacılık veya kripto para cüzdanı uygulamalarının erişilebilirlik olay günlüklerini tarayın ve kimlik bilgilerini çıkarın.

Bu işlevler, kötü amaçlı yazılımın finansal kazanç odaklı olduğunu ve casus yazılım olarak başlayan şeyi hassas bankacılık bilgilerini çalmak için gelişmiş bir tehdide dönüştürdüğünü ortaya koyuyor.

Atıf ve Komuta ve Kontrol Altyapısı

Analizler, kötü amaçlı yazılımın kaynak kodundaki Çince hata ayıklama ve günlük kaydı dizelerinden de anlaşılacağı üzere, Datzbro'nun Çince konuşan bir tehdit grubuyla bağlantılı olduğunu gösteriyor. Web tabanlı C2 panellerine dayanan birçok kötü amaçlı yazılım ailesinin aksine, Datzbro komuta ve kontrol operasyonları için Çince bir masaüstü uygulamasına bağlanıyor.

Bu C2 uygulamasının derlenmiş bir sürümü, halka açık bir virüs deposuna sızdırıldı; bu da kötü amaçlı yazılımın artık siber suçlular arasında serbestçe dağıtılabileceğini ve potansiyel erişiminin artabileceğini gösteriyor.

Mobil Güvenlik İçin Sonuçlar

Datzbro'nun keşfi, özellikle savunmasız grupları hedef almak için sosyal mühendislik kullanan mobil tehditlerin evrimini gözler önüne seriyor. Saldırganlar, yaşlılara odaklanarak ve görünüşte zararsız Facebook etkinliklerinden yararlanarak, basit bir sosyal etkileşimi cihaz ele geçirme, kimlik bilgisi hırsızlığı ve finansal dolandırıcılığa dönüştürebiliyor.

Bu kampanya, özellikle güven temelli sosyal ağlar üzerinden hedef alınabilecek yaşlı kullanıcılar için mobil güvenlikte dikkatli olmanın önemini vurguluyor.