Klopatra Bankacılık Truva Atı

Daha önce bilinmeyen bir Android bankacılık truva atı olan Klopatra, 3.000'den fazla cihazı tehlikeye attı; en çok etkilenenler İspanya ve İtalya oldu. Ağustos 2025 sonlarında bilgi güvenliği araştırmacıları tarafından keşfedilen bu gelişmiş kötü amaçlı yazılım, uzaktan erişim truva atı (RAT) yeteneklerini gelişmiş kaçınma teknikleriyle birleştirerek finansal bilgileri hedef alıyor ve dolandırıcılık işlemlerine olanak tanıyor.

Gelişmiş Saldırı Teknikleri ve Uzaktan Kumanda

Klopatra, enfekte cihazların uzaktan kontrolünü ele geçirmek için Gizli Sanal Ağ Bilişimi'nden (VNC) yararlanır. Kimlik bilgilerini çalmak ve yetkisiz işlemler gerçekleştirmek için dinamik katmanlar kullanır. Geleneksel mobil kötü amaçlı yazılımların aksine, Klopatra yerel kütüphaneleri ve ticari sınıf Virbox kod koruma paketini entegre ederek tespit ve analizi son derece zorlaştırır.

Kötü amaçlı yazılımın Komuta ve Kontrol (C2) altyapısı ve dilsel ipuçlarının analizi, Türkçe konuşan bir suç örgütünün Klopatra'yı herkese açık bir kötü amaçlı yazılım hizmeti (MaaS) olarak sunmak yerine, özel bir botnet olarak kullandığını gösteriyor. Mart 2025'ten bu yana, trojanın 40 farklı sürümü tespit edildi.

Kurbanlar Nasıl Tuzağa Düşürülür?

Klopatra, kullanıcıları IPTV yayın uygulamaları gibi zararsız araçlar gibi görünen dropper uygulamaları yüklemeye kandırarak sosyal mühendislik taktikleriyle yayılır. Bu uygulamalar, kullanıcıların güvenilmeyen kaynaklardan korsan yazılım yükleme isteğini istismar eder.

Yüklendikten sonra, dropper bilinmeyen kaynaklardan paket yüklemek için izin ister. Ardından, gömülü bir JSON Packer'dan ana Klopatra yükünü çıkarır. Kötü amaçlı yazılım ayrıca, engelli kullanıcılara yardımcı olmak üzere tasarlanmış olsa da şu amaçlarla kötüye kullanılabilen Android erişilebilirlik hizmetleri de ister:

• Ekran içeriğini oku
• Tuş vuruşlarını kaydet
• Eylemleri özerk olarak yürütün

Bu, saldırganların kurbanın bilgisi olmadan finansal dolandırıcılık yapmasına olanak tanır.

Gizlilik ve Dayanıklılık için Gelişmiş Mimari

Klopatra gelişmiş ve dayanıklı tasarımıyla öne çıkıyor:

• Virbox entegrasyonu kötü amaçlı yazılımın analiz edilmesini engeller.
• Gizliliği artırmak için çekirdek işlevler Java'dan yerel kütüphanelere kaydırıldı.
• Kapsamlı kod karartma, hata ayıklama önleme ve çalışma zamanı bütünlük kontrolleri algılamayı engelliyor.

• Operatörler, VNC aracılığıyla gerçek zamanlı, ayrıntılı kontrol elde eder ve şunları yapma olanağına sahip olur:

• Kötü amaçlı faaliyetleri gizlemek için siyah ekran katmanı sunun.

• Bankacılık işlemlerini gizlice yapın.

• Hedeflenen finans ve kripto para uygulamalarına dinamik olarak sahte giriş ekranları gönderin.

Kötü amaçlı yazılım ayrıca önceden yüklenmiş antivirüs yazılımlarını devre dışı bırakıyor ve sonlandırılmayı önlemek için erişilebilirlik hizmetlerini kullanarak izinlerini artırabiliyor.

Dolandırıcılık Uygulaması ve Stratejik Zamanlama

Klopatra'nın operatörleri dikkatlice düzenlenmiş bir saldırı dizisini takip ediyor:

• Cihazın şarj olup olmadığını, ekranın kapalı olup olmadığını ve cihazın boşta olup olmadığını kontrol edin.
• Ekran parlaklığını sıfıra düşürün ve siyah bir kaplama görüntüleyin.
• Çalınan PIN kodlarını veya desenleri kullanarak bankacılık uygulamalarına erişin.
• Birden fazla anında banka havalesini fark edilmeden gerçekleştirin.

Bu gece stratejisi, cihazların açık ve gözetimsiz kalmasını sağlayarak, saldırganlara kurbanlar uyurken çalışmak için ideal bir zaman aralığı sağlıyor.

Finans Sektörü İçin Sonuçlar

Klopatra mobil kötü amaçlı yazılımları yeniden icat etmese de, tehdit karmaşıklığında önemli bir artışı temsil ediyor. İşletmeciler, ticari düzeyde koruma ve gizlilik taktikleri benimseyerek hem kârlılığı hem de operasyonlarının ömrünü en üst düzeye çıkarıyor.

Google, Google Play'de herhangi bir virüslü uygulama bulunmadığını doğruladı ancak kötü amaçlı yazılımın üçüncü taraflara ve korsan uygulama dağıtım kanallarına bağımlı olması, mobil kullanıcılar için devam eden riski vurguluyor.