Mobil kullanıcılar yeni bir finansal dolandırıcılık ile karşı karşıya

Dijital güvenlik şirketi ESET taşınabilir kullanıcıları amaç alan az bir kimlik avı kampanyası tipi keşfetti. Gözlemlenen uygulamaların birçok Çek bankalarının müşterilerini amaç alıyor lakin ESET hem Macaristan hem de Gürcistan'daki bankaları amaç alan uygulamaları da tespit etti. ESET, mağdurları korumak için bankalarını bilgilendirdi.

ESET Research, mobil kullanıcıları amaç alan ender bir kimlik avı kampanyası tipi keşfetti ve önde gelen bir Çek bankasının müşterilerini amaç alan bir hadiseyi tahlil etti. Bu teknik, kullanıcının üçüncü taraf uygulama yüklemesine müsaade vermesine gerek kalmadan üçüncü taraf bir web sitesinden bir kimlik avı uygulaması yüklediği için dikkat cazip.  Bu yol Android platformunda  Google Play mağazasından yüklenmiş üzere görünen özel bir APK tipinin sessizce yüklenmesiyle sonuçlanabilir. 

Tehdit iPhone (iOS) kullanıcılarını da gaye alıyor.

iOS'u gaye alan kimlik avı web siteleri, kurbanlara ana ekranlarına bir Evreli Web Uygulaması (PWA) eklemeleri talimatını verirken Android'de PWA, tarayıcıda özel açılır pencereleri onayladıktan sonra yükleniyor. Her iki işletim sisteminde de bu kimlik avı uygulamaları, taklit ettikleri gerçek bankacılık uygulamalarından ayırt edilemiyor. PWA'lar aslında tek başına bir uygulama hissi veren web siteleri ve bu his lokal sistem istemlerinin kullanımıyla güçlendirilmiştir. Tıpkı web siteleri üzere PWA'lar da platformlar ortasıdır; bu da PWA kimlik avı kampanyalarının hem iOS hem de Android kullanıcılarını nasıl gaye alabildiğini açıklıyor. Bu yeni teknik, bir müşterinin markasını amaç alan tehditlerin izlenmesini sağlayan ESET Marka İstihbarat Hizmeti üzerinde çalışan ESET analistleri tarafından Çekya'da gözlemlendi.

iPhone’da güvenlikle ilgili tüm varsayımlar yıkılabilir

Tehdidi tahlil eden ESET araştırmacısı Jakub Osmani, "iPhone kullanıcıları için bu türlü bir hareket, güvenlikle ilgili tüm 'kapalı ekosistem' varsayımlarını yıkabilir" dedi.  ESET analistleri, taşınabilir kullanıcıları amaç alan bir dizi kimlik avı kampanyasının üç farklı URL dağıtım sistemi kullandığını keşfetti. Bu sistemler ortasında otomatik sesli aramalar, SMS bildirileri ve toplumsal medyada berbat emelli reklamlar yer alıyor. Sesli arama gönderimi, kullanıcıyı şimdiki olmayan bir bankacılık uygulaması hakkında uyaran ve kullanıcıdan sayısal klavyede bir seçeneği seçmesini isteyen otomatik bir arama yoluyla yapılıyor. Yanlışsız düğmeye basıldıktan sonra, bir tweet'te bildirildiği üzere, SMS yoluyla bir kimlik avı URL'si gönderiliyor. SMS ile birinci gönderim, Çek telefon numaralarına ölçüsüz bildiriler gönderilerek gerçekleştiriliyor. Gönderilen bildiride bir kimlik avı ilişkisi ve kurbanların ilişkiyi ziyaret etmeleri için toplumsal mühendislik yapmak üzere bir metin yer alıyor. Berbat emelli kampanya Instagram ve Facebook üzere Meta platformlarında kayıtlı reklamlar aracılığıyla yayıldı. Bu reklamlar, "aşağıdaki güncellemeyi indiren" kullanıcılar için sonlu bir teklif üzere bir aksiyon daveti içeriyor. 

İlk etapta gönderilen URL'yi açtıktan sonra Android kurbanlarına iki farklı kampanya sunulur: Hedeflenen bankacılık uygulamasının resmi Google Play mağaza sayfasını taklit eden yüksek kaliteli bir kimlik avı sayfası yahut bu uygulama için taklitçi bir web sitesi. Buradan, kurbanlardan bankacılık uygulamasının "yeni bir sürümünü" yüklemeleri istenir.

Kimlik avı kampanyası ve prosedürü sırf evreli web uygulamaları teknolojisi sayesinde mümkün. PWA'lar birden fazla platform ve aygıtta çalışabilen klasik web uygulama teknolojileri kullanılarak oluşturulmuş uygulamalardır. Chrome tarayıcısı bir PWA'dan lokal bir Android uygulaması yani diğer bir deyişle bir APK ürettiği için WebAPK'lar basamaklı web uygulamalarının yükseltilmiş bir versiyonu olarak düşünülebilir. Bu WebAPK'lar olağan lokal uygulamalar üzere görünür. Ayrıyeten bir WebAPK yüklemek "güvenilmeyen bir kaynaktan yükleme" ikazlarından rastgele birini üretmez. Üçüncü taraf kaynaklardan yüklemeye müsaade verilmiyorsa bile uygulama yüklenecektir.

Bir küme, girilen tüm bilgileri resmi Telegram API'si aracılığıyla bir Telegram küme sohbetine kaydetmek için bir Telegram botu kullanırken oburu bir idare paneline sahip klâsik bir Komuta ve Denetim (C&C) sunucusu kullanmıştır. Osmani, "Kampanyaların iki farklı C&C altyapısı kullandığı gerçeğinden yola çıkarak bankalara karşı PWA/WebAPK kimlik avı kampanyalarını iki farklı kümenin yürüttüğünü tespit ettik" dedi. 

Bilinen hadiselerin birden fazla Çekya'da gerçekleşmiş olup, bilhassa Macaristan ve Gürcistan'da iki oltalama uygulaması ortaya çıktı.  Bu mevzuda ESET Research tarafından bulunan tüm hassas bilgiler, işlenmek üzere derhal etkilenen bankalara gönderildi. ESET ayrıyeten çok sayıda kimlik avı alanının ve C&C sunucusunun kaldırılmasına da yardımcı oldu. 

Kaynak: (BYZHA) Beyaz Haber Ajansı