Siber güvenlik şirketi ESET, WhatsApp yedekleme belgelerini çalan ve belgeleri silmek için komutlar alabilen Android GravityRAT casus yazılımının güncellenmiş bir sürümünü tahlil etti.
ESET araştırmacıları, Android tabanlı GravityRAT casus yazılımının BingeChat ve Chatico iletileşme uygulamaları olarak dağıtılan güncellenmiş bir sürümünü tespit etti. Hindistan’daki kullanıcıları gaye alan ataklarda kullanılan bir uzaktan erişim aracı olan GravityRAT’in Windows, Android ve macOS sürümleri bulunuyor. GravityRAT’in ardında kim olduğu bilinmiyor; ESET Research, SpaceCobra olarak bilinen kümesi izliyor. Büyük olasılıkla Ağustos 2022’den beri etkin olan BingeChat kampanyası hala devam ediyor. Yeni keşfedilen kampanyada GravityRAT, WhatsApp yedeklemelerine sızabiliyor ve belgeleri silmek için komut alabiliyor. Makus emelli uygulamalar ayrıyeten açık kaynaklı OMEMO Instant Messenger uygulamasında bulunan yasal sohbet fonksiyonelliği de sağlıyor.
Daha evvel belgelenen SpaceCobra kampanyalarında olduğu üzere, Chatico kampanyası da Hindistan’daki bir kullanıcıyı amaç aldı. BingeChat uygulaması, kayıt yaptırmak gereken bir web sitesi aracılığıyla dağıtılıyor. Büyük ihtimalle uygulama, saldırganlar bekledikleri muhakkak kurbanların, muhtemelen belli bir IP adresi, coğrafik pozisyon, özel URL yahut muhakkak bir vakit dilimi içinde ziyaret ettiğinde açılıyor. Kampanyanın belli amaçlara yönelik olduğu düşünülüyor.
Kötü hedefli yazılımları araştıran ESET araştırmacısı Lukáš Štefanko bu hususta şunları söyledi: “UYGULAMAYI İNDİR düğmesine dokunduktan sonra berbat gayeli uygulama yollayan bir web sitesi bulduk; fakat ziyaretçilerin oturum açmasını gerektiriyor. Kimlik bilgilerimiz yoktu ve kayıt olamadık. Operatörlerin kayıtları sırf bekledikleri muhakkak bir kurbanın, muhtemelen muhakkak bir IP adresi, coğrafik pozisyon, özel URL yahut muhakkak bir vakit dilimi içinde ziyaret ettiğinde açıldığını düşünüyoruz. BingeChat uygulamasını web sitesi üzerinden indirememiş olsak da, VirusTotal’da bir dağıtım URL’si bulabildik.” Berbat maksatlı uygulamaya Google Play store üzerinden erişim sağlanamıyor.
Potansiyel kurbanlar gaye alınıyor
ESET Research, potansiyel kurbanların berbat maksatlı web sitesine girmesi için nasıl kandırıldığını yahut hangi yollarla keşfedildiğini belirleyemedi. Araştırma sırasında uygulamayı indirmenin hesap sahibi olma kuralına bağlı olduğunu ve yeni hesap kaydının mümkün olmadığını göz önünde bulunduran ESET, potansiyel kurbanların bilhassa amaç alındığına inanıyor.
Facebook araştırmacıları, Cisco Talos tarafından daha evvel kestirim edildiği üzere GravityRAT’i Pakistan merkezli bir kümeye bağlasa da, makus maksatlı yazılımın ardındaki küme bilinmiyor. ESET bu kümesi SpaceCobra ismiyle izliyor. BingeChat ve Chatico kampanyalarını bu kümeye bağlıyor.
Uygulamanın yasal fonksiyonelliğinin bir modülü olarak, bir hesap oluşturma ve oturum açma seçeneği sunuluyor. Kullanıcı uygulamaya giriş yapmadan evvel GravityRAT, C&C sunucusuyla etkileşime geçerek aygıt kullanıcısının datalarına sızmaya başlıyor ve komutların yürütülmesini bekliyor. GravityRAT arama kayıtları, kişi listesi, SMS bildirileri, aygıt pozisyonu, temel aygıt bilgileri ve fotoğraflar, fotoğraflar ve evraklar için makul uzantılara sahip belgelere sızabiliyor. GravityRAT’in bu versiyonu, GravityRAT’in bilinen evvelki sürümlerine kıyasla iki güncellemeye sahip: WhatsApp yedeklemelerine sızma ve belgeleri silmek için komut alma.
Kaynak: (BYZHA) Beyaz Haber Ajansı
