Android kullanıcıları dikkat: Sturnus tehdidi ortaya çıktı

Mobil güvenlik araştırmacıları, Android kullanıcılarını hedef alan ve finansal dolandırıcılık amacıyla geliştirilen “Sturnus” adlı yeni bir bankacılık Truva Atı hakkında önemli detaylar paylaştı. Henüz değerlendirme aşamasında olduğu belirtilen bu zararlı yazılım, şifreli mesajlara ve cihaz kontrolüne erişebiliyor. 

Milyonlarca kullanıcı tehlikede

ThreatFabric’in analizine göre Sturnus, WhatsApp, Telegram ve Signal gibi uçtan uca şifrelemeyle korunan uygulamalar üzerinden geçen konuşmaları doğrudan cihaz ekranı üzerinden okuyabiliyor. Bu mekanizma, verinin şifresi çözüldükten hemen sonra devreye giriyor ve kullanıcı fark etmeden tüm içerik saldırganların kontrolündeki sunuculara aktarılıyor. 

Sturnus’un hedef alanı yalnızca sohbet uygulamalarıyla sınırlı değil. Zararlı yazılım, Avrupa’nın güney ve orta bölgelerinde faaliyet gösteren bankacılık uygulamalarına yönelik özel bindirme (overlay) ekranları hazırlayarak kullanıcıların giriş bilgilerini topluyor. Zararlı yazılımın teknik altyapısı ise oldukça gelişmiş.

Sturnus, ilk çalıştırıldığında cihazı uzaktan yönetebilmek için WebSocket ve HTTP kanallarını kullanarak kendini sunucuya kaydediyor. Bu bağlantı üzerinden saldırganlara şifreli yükler gönderiliyor ve gerektiğinde VNC oturumlarıyla cihaza tam erişim sağlanıyor. Ayrıca ekran yansıtma özelliklerini kullanarak cihazın görüntüsünü anlık olarak saldırganlara aktarabiliyor.

Daha da endişe verici olan nokta, yazılımın Android’in erişilebilirlik servislerini manipüle ederek kaldırılmasını zorlaştırması. Kullanıcı ayarlara girip yönetici izinlerini kaldırmaya çalıştığında, Sturnus bunu algılıyor ve ekranı otomatik olarak başka bir sayfaya yönlendiriyor. Bu sayede hem normal yöntemlerle hem de ADB üzerinden silinmesinin önüne geçilebiliyor.

Araştırmacılar, Sturnus’un şu anda sınırlı bir yayılım gösterdiğini ancak coğrafi olarak hedefli ve yüksek değere sahip uygulamaları seçmesi nedeniyle daha büyük operasyonlara hazırlık içinde olabileceğini söylüyor. Google’dan ise henüz açıklama paylaşılmadı.