Siber güvenlik şirketi Bitdefender tarafından yürütülen araştırma, özellikle uygun fiyatlı ve dayanıklı telefonlarıyla tanınan Çin merkezli bazı üreticilerin modellerine odaklanıyor. Etkilenen cihazlar arasında Doogee S200 X, Doogee Fire 3 Max ve Cubot KINGKONG X bulunuyor. Ayrıca tanınmış markaların ürünlerini taklit eden sahte telefonlarda da aynı tür zararlı yazılımlara rastlandı.
Araştırmacılar, çoğunlukla MediaTek işlemcili cihazlarda tespit edilen zararlı kodların sistem üzerinde yüksek yetkiler elde edebildiğini belirtiyor. Bu yetkiler, saldırganların yüklü uygulamalara müdahale etmesine ve kullanıcıdan izin almadan uzaktan kod çalıştırmasına olanak veriyor.
Zararlı yazılım 150’den fazla ülkeye yayıldı
Bitdefender’ın bulguları, saldırının yalnızca belirli bir bölgeyle sınırlı kalmadığını gösteriyor. Zararlı yazılımlardan etkilenen telefonların 150’den fazla ülkede binlerce kullanıcıya ulaştığı belirtiliyor. ABD, Fransa, İtalya, Almanya, İspanya, Meksika ve Brezilya da bu ülkeler arasında yer alıyor.
Saldırının çalışma biçimi ise sıradan bir zararlı uygulamanın telefona yüklenmesinden farklı. Cihazların sistem yazılımına yerleştirilen kodlar, reklam sahtekarlığı faaliyetlerini doğrudan yürütmek yerine ikinci aşamada başka uygulamaları indiriyor.
Araştırmacılar bu amaçla kullanılan 32 farklı zararlı uygulama tespit etti. Hava durumu, dosya yöneticisi, uygulama kilitleyici ve ses düzenleyici gibi sıradan araçların görünümüne bürünen bu uygulamalar, telefonun arka planında kötü amaçlı işlemler gerçekleştiriyor.
Telefonlar kullanıcıdan habersiz reklam görüntülüyor
Zararlı uygulamaların temel amaçlarından biri sahte reklam gösterimleri üzerinden gelir elde etmek. Bunun için telefon ekranının üzerinde kullanıcıya görünmeyen bir pencere oluşturuluyor. Reklamlar bu görünmez alanda çalıştırılarak gerçek bir kullanıcı tarafından görüntülenmiş gibi kaydediliyor. Böylece telefon sahibi herhangi bir reklamla etkileşime girmediği halde cihazı, saldırganların reklam sahtekarlığı faaliyetlerinde kullanılıyor. İşlemler arka planda gerçekleştiğinden kullanıcının ne olup bittiğini fark etmesi de güçleşiyor.
Ancak araştırmanın ortaya çıkardığı tehlike yalnızca sahte reklam gösterimleriyle sınırlı değil. Bitdefender, bazı zararlı uygulamaların saldırganlara ait komut ve kontrol sunucularıyla iletişim kurduğunu da tespit etti.
Bu uygulamalar, ele geçirilen telefonları vekil sunucuya (proxy) dönüştürebiliyor. Böylece saldırganlar kendi internet bağlantıları yerine mağdurların cihazları üzerinden ağ trafiği yönlendirebiliyor. Bu yöntem, siber saldırılarda, dolandırıcılık faaliyetlerinde veya toplu e-posta gönderimlerinde kullanılabilecek bir altyapı oluşturuyor.
İncelemelerde, benzer kod altyapısına sahip bazı uygulamaların resmi uygulama mağazasında da bulunduğu belirlendi. Dolayısıyla araştırma yalnızca üretim aşamasında cihazlara eklenen zararlı yazılımları değil, uygulama dağıtımı üzerinden ortaya çıkabilecek bağlantılı tehditleri de kapsıyor.
Zararlı yazılımları silmek neden bu kadar zor?
Olayın en dikkat çekici yönlerinden biri, zararlı kodların telefonlara kullanıcı tarafından yüklenen sıradan uygulamalar gibi yerleştirilmemiş olması. Saldırganların tedarik zincirine müdahale ederek kodları doğrudan cihazların sistem yazılımına eklemesi, tehdidin daha ilk açılıştan itibaren etkin hale gelmesine yol açıyor. Bu nedenle şüpheli bir uygulamanın kaldırılması her zaman sorunu çözmüyor. Zararlı kodun sistem seviyesinde bulunması, cihazın temizlenmesi için daha kapsamlı yazılım müdahaleleri gerektirebiliyor.
Bitdefender’ın araştırması, saldırganların telefonlar tüketicilere ulaşmadan önce yazılımlarını değiştirebildiğini ve bu yolla binlerce cihazı etkileyebildiğini gösteriyor. Enfekte telefonların hem reklam sahtekarlığında hem de başka siber faaliyetler için ağ trafiğinin yönlendirilmesinde kullanılabilmesi, olayın yalnızca bireysel cihaz güvenliğiyle sınırlı olmadığını ortaya koyuyor.
