BAE’li Kullanıcıları Hedefleyen Android Casus Yazılım Kampanyalarına Genel Bakış: ProSpy ve ToSpy İzleri

Güvenlik şirketi ESET’in yaptığı araştırma, dünya çapında güvenlik duvarını aşmaya çalışan iki Android casusluk ailesinin BAE vatandaşlarını hedeflediğini ortaya koyuyor. Bu kampanyalar, sahte web siteleri ve sosyal mühendislik taktikleriyle zararlı yazılımları dağıtıyor ve kullanıcılar resmi mağazalar yerine üçüncü taraf kaynaklardan uygulamaları manuel olarak indirmek zorunda bırakılıyor.

Incelemeye göre iki ana tehdit ailesi mevcut: Android/Spy.ProSpy, Signal ve ToTok uygulamaları üzerinden kendini gösterirken, Android/Spy.ToSpy ise ToTok’u taklit eden bir düşey olarak karşımıza çıkıyor. C&C sunucuların halen aktif olması, ToSpy’nin hala canlı bir kampanya olduğunu düşündürüyor. ESET araştırmacısı Lukáš Štefanko, bu yazılımların hiçbir zaman resmi mağazalarda bulunmadığını belirtirken, kullanıcıların zararlı yazılımları güvenilir görünen ancak aslında üçüncü taraf web sitelerinden manuel olarak yüklemek zorunda kaldığını vurguluyor. Özellikle ToSpy, Samsung Galaxy Store’u taklit eden siteler üzerinden kullanıcıları zararlı sürümü indirmeye yönlendiriyor ve yüklendikten sonra kalıcılıklarını sürdürüyor.

BAE içinde teyit edilen bulgular, kimlik avı ve sahte uygulama mağazalarının kullanılmasıyla bölgesel ve güvenlik açığına sahip bir dağıtım stratejisini işaret ediyor.

ESET Research, ProSpy kampanyasını Haziran 2025’te tespit etti ve bunun 2024’ten beri devam ediyor olabileceğini değerlendiriyor. ProSpy, Signal ve ToTok gibi iletişim araçlarını taklit eden sahte web siteleri üzerinden dağıtılıyor. Bu siteler, Signal Encryption Plugin ve ToTok Pro gibi görünmeye çalışan kötü amaçlı APK dosyalarını sunuyor. Alan adının ae.net uzantılı olması, kampanyanın BAE’de yaşayan kullanıcıları hedeflediğini düşündürüyor.

Soruşturmada benzer kod tabanını kullanan ve ToTok Pro adıyla görünen beş adet daha kötü amaçlı APK’nin bulunduğu belirlendi. ToTok, 2019 yılında gözetim endişeleri nedeniyle Google Play ve App Store’dan kaldırılmış bir mesajlaşma uygulaması olarak biliniyor; fakat bölgesel kullanıcı tabanının büyük çoğunluğunun BAE’de olması nedeniyle ToTok Pro’nun bu bölgedeki kullanıcıları hedeflemesi muhtemel görünüyor. Yüklenen zararlı uygulamalar, cihaz içindeki kişiler arası ileti, mesajlar ve dosyalar gibi hassas verileri erişim izniyle toplama amacı güdüyor. Bu yetkiler verdildiğinde ProSpy, arka planda veri sızdırmaya başlıyor. Signal Encryption Plugin ise cihaz bilgilerini, SMS’leri ve kişi listesini dışa aktararak sohbet yedekleri, ses, video ve görüntüler gibi verileri da sızdırıyor.

Haziran 2025 itibarıyla ESET telemetri sistemleri, BAE’deki bir cihazdan yayılan ve daha önce belgelenmemiş başka bir Android casus yazılım ailesini tespit etti. Bu yeni tehdit Android/Spy.ToSpy adını taşıyor ve ToTok uygulamasını taklit eden dört sahte dağıtım web sitesini ortaya çıkarıyor. Bölgesel popülarite ve aktörlerin sahte taklit stratejileri göz önüne alındığında birincil hedefin BAE ve yakın çevresi olduğu varsayılıyor. Bu casus yazılım, kullanıcı profilleri, sohbet yedeklemeleri, görüntüler, belgeler, ses ve videolar gibi geniş bir veri kümesini hedefliyor. ESET bulguları, ToSpy kampanyasının 2022 ortalarında başladığını öne sürüyor.

Lukáš Štefanko’nun önerisi ise şu: “Kullanıcılar, resmi olmayan kaynaklardan uygulama indirirken ve bilinmeyen kaynakları aktifleştirirken dikkatli olmalı; özellikle güvenilir hizmetler sunduğunu iddia eden uygulamaları indirmek için resmî mağazaların dışına çıkmaktan kaçınmalıdır.”

Kaynak: Beyaz Haber Ajansı (BYZHA)