BeatBanker Truva Atı: Starlink Maskesiyle Android Cihazlarda Monero Madenciliği ve BTMOB RAT Entegre Saldırı

Kaspersky GReAT ekibi, siber suçluların BeatBanker adını taşıyan Truva atını Starlink adlı Android uygulaması izlenimiyle yaydığını belirledi. Başlangıçta Brezilya kullanıcıları hedeflense de, uzmanlar diğer bölgelerdeki kullanıcıların da tehditlerin etkisi altında kalabileceğini vurguluyor. Zararlı yazılım, cihazlarda Monero madenciliği yapmasının yanı sıra BTMOB adlı uzak erişim aracı (RAT) modülünü de içeriyor. BeatBanker, kalıcılığını artırmak amacıyla çok gizli bir mekanizmayı kullanıyor: arka planda çalışırken, duyulması güç bir ses dosyasını sürekli döngüde tutan bir yöntemle sistem süreçlerini etkiliyor.

Kaspersky GReAT Amerika ve Avrupa Birimleri Başkanı Fabio Assolini değerlendirmesinde, “BeatBanker’ın ilk sürümlerinde kamu hizmeti sanılıp kripto madenciliğiyle birlikte bankacılık Truva atı da içeriyordu. Fakat yeni varyantlar, bankacılık modülü yerine BTMOB RAT’ı devreye sokuyor ve daha geniş kitlelere ulaşmak için Starlink gibi yeni bir yemi kullanıyor.” ifadelerini paylaştı. Kullanıcılar için bu durum, gelişmiş güvenlik çözümlerinin hayati önem taşıdığını gösteriyor.

İlk bulaşma ve gizli eklenti mekanizması

Analistler, BeatBanker’ı içeren sahte Starlink uygulamasının Google Play Store’u taklit eden oltalama sayfaları üzerinden yayıldığını belirtiyor. Cihaza bulaştıktan sonra kullanıcıya sahte bir Google Play arayüzü sunuluyor; bu sayede kurulum izinleri alınarak ek saklı bileşenler indiriliyor.

Kripto madenciliği ve BTMOB RAT entegrasyonu

Sahte “UPDATE” düğmesine dokunan kullanıcılar, cihazlarında Monero madenciliğinin başlamasına yol açan bir süreçle karşılaşıyor. BeatBanker, pil seviyesi, cihaz sıcaklığı ve kullanıcı davranışlarını sürekli izliyor; elde edilen veriler, arka planda dinamik olarak başlatılan veya durdurulan madencilik süreçlerini yönlendiriyor. Ayrıca ele geçirilen cihazda BTMOB RAT kuruluyor; MaaS tarzında sunulan bu araç, saldırganlara cihaz üzerinde tam uzaktan kontrol sağlamanın yanı sıra otomatik izinler, bildirim gizleme ve kilit ekranı güvenlik önlemlerini aşma kabiliyetleri vadediyor. Kamera erişimi, konum izleme ve hassas verilerin sürekli toplanması da bu paketin parçaları arasında yer alıyor.

BeatBanker ayrıca kalıcılık sağlamak amacıyla güvenlik önlemlerini güçlendiriyor: ana ekranda sabit bir bildirim gösteriliyor ve arka planda sessiz medya oynatma içeren bir foreground servis çalıştırılıyor. Böylece zararlı süreçlerin işletim sistemi tarafından sonlandırılmasının önüne geçiliyor. Kaspersky, bu tehdidi HEUR:Trojan-Dropper.AndroidOS.BeatBanker ve HEUR:Trojan-Dropper.AndroidOS.Banker.* olarak sınıflandırıyor.

Mobil tehditlere karşı korunma için öneriler kısa ve net: yetkili mağazalardan uygulama indirin ve her zaman güvenli bağlantıları kullanın; resmi sitelerden gelen linkleri tercih edin ve güvenilir güvenlik çözümleriyle destek alın. Uygulama izinlerini dikkatle inceleyin, özellikle Erişilebilirlik Hizmetleri gibi yüksek riskli izinlerde onayınızı iki kez düşünün. Ayrıca işletim sistemi ve önemli uygulamaları güncel tutun; güncellemeler genelde güvenlik açıklarını kapatır.

Kaynak: (BYZHA) Beyaz Haber Ajansı