Android kullanıcılarını hedef alan yeni tehdit: Sturnus truva atı

Siber güvenlik alanında yeni bir tehdit ortaya çıktı: Sturnus adlı bankacılık truva atı, güvenlik uzmanları arasında ciddi endişelere yol açıyor. Bu Android kötü amaçlı yazılımı, Signal, WhatsApp ve Telegram gibi en popüler uçtan uca şifrelenmiş mesajlaşma uygulamalarından bile kullanıcıların iletişimini okuyabilme kapasitesine sahip. Sturnus, enfekte cihazlar üzerinde neredeyse tam bir kontrol mekanizması kurarak, saldırganların hedef sistemlerde geniş çaplı operasyonlar yürütmesini mümkün kılıyor.

Sturnus'un teknik yetenekleri ve yayılış yöntemi

Güvenlik şirketi ThreatFabric tarafından detaylı biçimde analiz edilen Sturnus, teknik açıdan yeni standartlar belirliyor. Bu kötü amaçlı yazılım, kontrol sunucularıyla iletişim kurarken kısmen açık metin, kısmen de RSA ve AES şifrelemesi kullanıyor. Sturnus'un en tehlikeli yönü, mesajlaşma uygulamalarından içerikleri cihazda şifreleri çözüldükten sonra ele geçirme yeteneğidir. Bu işlemi gerçekleştirmek için Sturnus basitçe ekran içeriğini okuyor ve böylece şifreleme mekanizmalarını etkisiz hale getiriyor. Enfeksiyon süreci, Google Chrome veya Preemix Box gibi meşru uygulamalar olarak kılık değiştiren manipüle edilmiş APK dosyalarıyla başlıyor. Bu dosyaların dağıtım yöntemi henüz tam olarak açıklanmamış olmakla birlikte, araştırmacılar aldatıcı reklamlar veya doğrudan mesajlar aracılığıyla yayıldığını tahmin ediyor.

Sturnus'un cihaz üzerindeki kontrol mekanizması

Kurulumdan sonra Sturnus kötü amaçlı yazılımı, kriptografik bir değişim yöntemiyle kontrol sunucusuna kaydoluyor ve veri hırsızlığı için şifrelenmiş kanallar açıyor. Aynı zamanda VNC üzerinden canlı kontrol için bir WebSocket bağlantısı oluşturuyor. Android erişilebilirlik işlevlerinin kötüye kullanımı yoluyla Sturnus geniş kapsamlı yetkiler elde ediyor. Bu kötü amaçlı yazılım modülü metinleri okuyabilir, girişleri kaydedebilir, uygulamaları tanımlayabilir, ekran içeriklerini manipüle edebilir, metin ekleyebilir ve cihazda serbestçe gezinebilir. Ek olarak, parola değişikliklerini izlemek, cihazı kilitlemek ve kaldırma işlemini etkili bir şekilde önlemek için yönetici hakları elde ediyor. Özellikle sinsi olan uzaktan kontrol edilen VNC modu, saldırganların kullanıcı için sahte bir sistem güncelleme penceresi görüntülenirken, fark edilmeden yazmasını, kaydırmasını, ayarları değiştirmesini veya banka işlemleri gerçekleştirmesini sağlıyor.