RedWing: Telegram Üzerinden Kiralanan Android Banka Dolandırıcılığı

Mobil siber güvenlik dünyası, Telegram üzerinden kiralanabilir bir hizmet olarak sunulan yeni bir RedWing Android zararlısı ile karşı karşıya. Banka dolandırıcılığı operasyonlarını sıradan suçluların bile erişimine açan bu yeni nesil zararlı yazılım, kurbanların telefonlarını tamamen ele geçirerek bankacılık giriş bilgilerini ve tek kullanımlık güvenlik kodlarını çalma yeteneğine sahip. Bu gelişme, Android cihaz kullanıcıları için ciddi bir güvenlik tehdidini beraberinde getiriyor ve mobil ekosistemdeki dolandırıcılık yöntemlerinin ne kadar hızla evrildiğini gözler önüne seriyor.

Kiralanabilir Bir Tehdit: RedWing’in İşleyişi

RedWing, Malware-as-a-Service (MaaS) modeliyle sunulan, hazır bir banka dolandırıcılığı aracı olarak dikkat çekiyor. Telegram platformu üzerinden kolayca kiralanabilen bu hizmet, siber suç yazılımı geliştirme yeteneği olmayan kişilere dahi kapsamlı bir dolandırıcılık altyapısı sağlıyor. Zimperium zLabs araştırmacılarının keşfettiği bu operasyon, daha önce ayda 300 dolar karşılığında kiralanabilen ve bu yılın başlarında belgelenen Oblivion adlı zararlı yazılımın yeni bir varyantı gibi görünüyor. Bu durum, piyasada var olan tehditlerin sürekli olarak mutasyona uğradığını ve yeni kimlikler altında yeniden ortaya çıktığını gösteriyor.

RedWing’in satış modeli, abonelik katmanları, yönlendirme indirimleri, kapsamlı kılavuzlar ve hatta nasıl yapılır videolarıyla eksiksiz bir ürün paketi sunuyor. Bu yaklaşım, alıcıların zararlı yazılım kodlama becerisine sahip olmasını gereksiz kılıyor. Telegram botları aracılığıyla her alıcıya özel olarak tasarlanmış bir uygulama anında oluşturulabiliyor. Siber güvenlik uzmanları, bu yöntemle üretilen çok sayıda “dropper” ve “payload”ın şu an için geleneksel güvenlik araçları tarafından tespit edilemediğini belirtiyor. Bu durum, savunma mekanizmalarının sürekli olarak güncellenmesi gerektiğinin altını çiziyor.

Kurbanlara Nasıl Ulaşıyor? Enfeksiyon Zinciri

RedWing’in kurbanlara bulaşma süreci, genellikle oltalama (phishing) bağlantılarıyla başlıyor. Kullanıcılar, bu bağlantılara tıkladıklarında kendilerini sahte bir uygulama mağazası sayfasında buluyorlar. RedWing kitinin “dropper” oluşturucusu, Google Play, Galaxy Store ve AppGallery gibi resmi uygulama mağazalarını taklit edebiliyor. Hatta sahte derecelendirmeler, yorumlar ve indirme sayıları içeren tamamen özel sayfalar dahi tasarlayabiliyor. Bu taklit yeteneği, kullanıcıların güvenini kazanmak ve şüphelerini azaltmak için ustaca kullanılıyor. Görsel olarak ikna edici bu sayfalar, kullanıcıları resmi mağaza dışından uygulama yüklemeye ikna etmenin ilk adımı.

Uygulama yüklendikten sonra, zararlı yazılım izin isteklerini tek tek ve kademeli olarak sunmaya başlıyor. Arka planda zararsız görünen bir web sayfası açıkken, açılır pencereler aracılığıyla izinler talep ediliyor. Bu izinler, pil kısıtlamalarını kapatma, uygulamayı varsayılan mesajlaşma uygulaması olarak ayarlama ve bildirimleri açma gibi “rutin” işlemler gibi gösteriliyor. Ancak asıl kritik istek, Android’in Erişilebilirlik hizmetini açma talebi. Siber suçlular, bu hizmeti kötüye kullanarak telefon ekranını okuyabilir ve cihazı tamamen kontrol edebilirler. Bu genişletilmiş erişim, RedWing’in cihaz üzerindeki hakimiyetini pekiştiren en önemli adımlardan biri.

Kapsamlı Kontrol: RedWing’in Yetenekleri

Erişilebilirlik hizmeti ve diğer gerekli izinler bir kez alındığında, RedWing kurbanın telefonu üzerinde neredeyse tam bir kontrol sağlıyor. Bu kontrol, çeşitli sofistike dolandırıcılık ve veri hırsızlığı yeteneklerini beraberinde getiriyor. İlk olarak, gerçek bankacılık ve kripto para uygulamaları üzerinde sahte oturum açma ekranları, yani “overlays” (kaplamalar) göstererek parolaları çalabiliyor. Bu kaplamalar o kadar gerçekçi tasarlanıyor ki, kullanıcılar genellikle farkında olmadan giriş bilgilerini doğrudan saldırganlara iletiyorlar.

Bir diğer önemli yetenek, tek kullanımlık şifrelerin (OTP) ele geçirilmesi. Zararlı yazılım, gelen SMS mesajlarını okuyarak bu kodları yakalayabiliyor. Ayrıca, Erişilebilirlik hizmetini kullanarak ekranda görünen kodları, kart numaralarını ve PIN’leri anında tespit edip çalabiliyor. RedWing, telefon tabanlı doğrulamaları ve bankaların dolandırıcılık kontrol aramalarını atlatmak için kurbanın gelen çağrılarını gizlice saldırgana yönlendirebiliyor. Bu, *21* gibi gizli operatör kodları kullanılarak çağrı yönlendirmesi etkinleştirilerek gerçekleştiriliyor ve böylece bankaların güvenlik önlemleri etkisiz hale getiriliyor.

Saldırganlar, canlı ekran akışı ve tuş kaydedici (keylogger) sayesinde kurbanın telefonunu gerçek zamanlı olarak izleyebilir ve kontrol edebilirler. Bu sayede, mağdurun her hareketini görebilir ve klavye girişlerini kaydedebilirler. Ayrıca, kamera ve mikrofonu açma, dosya okuma, kişileri ve arama kayıtlarını çalma, konum takibi gibi daha geniş kapsamlı casusluk işlevleri de RedWing’in yetenekleri arasında. Hatta, ele geçirilmiş telefon havuzunu kullanarak hedef bir web sitesini trafikle boğarak hizmet reddi (DDoS) saldırıları düzenleyebiliyor olması, bu zararlı yazılımın ne denli çok yönlü ve yıkıcı olabileceğini gözler önüne seriyor.

Hedefleme Stratejileri ve Bölgesel Odaklanma

RedWing’i kiralayan siber suçlular, kendi hedeflerini belirleme konusunda esnekliğe sahip. Zararlı yazılımın hedefleme mekanizması iki ana kategoriye ayrılıyor. Erişilebilirlik hizmeti aracılığıyla izlenen uygulamalar, her bir kopyaya özel olarak entegre ediliyor. Bu durum, bir alıcının yeni hedefler seçmesi halinde yeni bir uygulamanın baştan oluşturulması gerektiği anlamına geliyor. Buna karşın, kaplama (overlay) hedefleri, kontrol panelinden daha sonra değiştirilebiliyor ve bunun için yeni bir uygulamanın dağıtılmasına gerek kalmıyor. Bu ayrım, saldırganlara operasyonel esneklik sağlarken, aynı zamanda hızlı hedef değişikliği imkanı sunuyor.

Zimperium’un tespitlerine göre, RedWing şu ana kadar çeşitli sektörlerde faaliyet gösteren 82 kurumu hedef almış durumda. Bu listede, özellikle Rus finans kuruluşları güçlü bir odak noktası olarak öne çıkıyor. Ancak bu hedef listesinin herhangi bir zamanda değişebileceği de belirtiliyor. Eldeki kanıtlar, operasyonun Rus pazarıyla güçlü bağlantıları olduğunu gösteriyor. Örneğin, ele geçirilen bir örnekte Rusya’nın RuStore’unu taklit eden sahte bir sayfa kullanılmış. Uzmanlar, operasyonun Rus siber tehdit aktörleriyle ilişkili olabileceğini iddia ediyor ancak bu bağlantı henüz kesin olarak doğrulanmış değil. Bu bölgesel odaklanma, uluslararası siber güvenlik işbirliğinin önemini bir kez daha ortaya koyuyor.

Mobil Güvenlikte Yeni Bir Meydan Okuma

RedWing’in ortaya çıkışı, Android ekosistemindeki siber dolandırıcılık yöntemlerinin geldiği son noktayı temsil ediyor. Cihaz içi dolandırıcılığa doğru genişleyen bu eğilim, saldırganların kurbanın kendi bankacılık oturumları içinde hareket etmesini sağlayarak geleneksel güvenlik katmanlarını aşmasını kolaylaştırıyor. Özellikle MaaS modelinin yaygınlaşması, teknik bilgisi az olan suçluların dahi sofistike siber saldırılar düzenlemesine olanak tanıyor. Bu, siber suç dünyasında “demokratikleşme” olarak adlandırılabilecek endişe verici bir trendi işaret ediyor. Kurumlar ve bireyler için mobil güvenlik stratejilerini yeniden değerlendirme zorunluluğu doğuyor.

Bu tür zararlı yazılımlarla mücadele etmek için sadece antivirüs yazılımlarına güvenmek yeterli olmayabilir. Kullanıcıların bilinçli olması, şüpheli bağlantılara tıklamaması, uygulamaları yalnızca resmi ve güvenilir kaynaklardan indirmesi büyük önem taşıyor. Özellikle uygulama yükleme sırasında istenen izinleri dikkatle gözden geçirmek ve Erişilebilirlik gibi kritik hizmetlerin hangi uygulamalar tarafından talep edildiğini anlamak hayati önem taşıyor. Bankalar ve diğer finans kuruluşları için ise, çok faktörlü kimlik doğrulama yöntemlerini güçlendirmek, çağrı yönlendirme gibi siber saldırı tekniklerine karşı ek koruma mekanizmaları geliştirmek ve sürekli olarak yeni tehdit vektörlerini izlemek kaçınılmaz hale geliyor. Mobil güvenlik, sürekli tetikte olmayı gerektiren dinamik bir alan olarak varlığını sürdürüyor.