Haber Detayı
Starlink maskesiyle yayılan zararlı yazılım
Saldırganlar öncelikli olarak Brezilyadaki kullanıcıları hedef alsa da, güvenlik uzmanları diğer ülkelerdeki kullanıcıların da bu tehditle karşı karşıya kalabileceği konusunda uyarıyor.
Söz konusu Truva atı, cihazlarda Monero kripto para madenciliği yapmasının yanı sıra BTMOB adlı bir uzak erişim aracı (RAT) da yüklüyor.
BeatBanker, sistemde kalıcılığını sürdürmek için neredeyse duyulamayacak kadar düşük seviyede sürekli döngüye alınmış bir ses dosyası, sürekli döngüde olan bir ses dosyası kullanan sıra dışı bir mekanizmadan faydalanıyor.İlk bulaşma vektörüGüvenlik uzmanlarına göre siber suçlular, BeatBanker Truva atını içeren sahte bir Starlink uygulamasını, Google Play Storeu taklit eden oltalama (phishing) sayfaları üzerinden dağıtıyor.
Zararlı yazılım bir cihaza yüklendikten sonra, kullanıcıya yine Google Playi taklit eden bir arayüz gösteriyor.
Bu yöntemle saldırganlar kullanıcıları uygulama kurulum izinlerini vermeye ikna ederek ek gizli zararlı bileşenlerin indirilmesine olanak tanıyor.Kripto madenciliği ve BTMOB RAT modülü Kullanıcı sahte Google Play sayfasında UPDATE düğmesine tıkladığında cihazda bir Monero kripto para madencisi devreye giriyor.BeatBanker, enfekte akıllı telefonun pil seviyesini, cihaz sıcaklığını ve kullanıcı etkinliğini sürekli izliyor.
Bu veriler doğrultusunda arka planda çalışan gizli kripto madencisi otomatik olarak başlatılıyor veya durduruluyor.Android Truva atı ayrıca ele geçirilen cihaza BTMOB RAT da kuruyor.Malware-as-a-Service (MaaS) modeliyle satılan bu araç, saldırganlara cihaz üzerinde tam uzaktan kontrol sağlıyor.
BTMOB; izinleri otomatik olarak verebilme, sistem bildirimlerini gizleyebilme ve PIN, desen ve parola gibi ekran kilidi bilgilerinin ele geçirilmesine yönelik mekanizmalar içeriyor.
Zararlı yazılım ayrıca saldırganların ön ve arka kameralara erişmesine, GPS konumunu izlemesine ve hassas verileri sürekli olarak toplamasına olanak tanıyor.BeatBanker, sistemden kaldırılmasını zorlaştırmak için kalıcılık mekanizmaları da kullanıyor.
Zararlı yazılım, ön planda sabit bir bildirim göstererek ve arka planda sessiz medya oynatma içeren bir foreground servis çalıştırarak işletim sisteminin zararlı süreci sonlandırmasını engellemeyi amaçlıyor.
