Android için Medusa Bankacılık Truva atı, Fransa, İtalya, Amerika Birleşik Devletleri, Kanada, İspanya, Birleşik Krallık ve Türkiye'yi hedefleyen kampanyalarda neredeyse bir yıl daha düşük bir profil tuttuktan sonra yeniden ortaya çıktı.
Yeni etkinlik Mayıs ayından bu yana izlendi ve daha az izin gerektiren ve doğrudan uzlaşmış cihazdan işlemleri başlatmak için yeni özelliklerle gelen daha kompakt varyantlara dayanıyor.
Tanglebot olarak da bilinen Medusa Bankacılık Truva, 2020'de keşfedilen bir Android kötü amaçlı yazılım (MAAS) operasyonudur. Kötü amaçlı yazılım, anahtarlama, ekran kontrolleri ve SMS manipülasyonu sağlar.
Aynı ada sahip olmasına rağmen, işlem fidye yazılımı çetesinden ve dağıtılmış hizmet reddi (DDOS) saldırıları için Mirai merkezli Botnet'ten farklıdır.
Son kampanyalar, kötü amaçlı yazılım varyantlarının daha hafif olduğunu, cihazda daha az tıpa ihtiyaç duyduğunu ve tam ekran kaplama ve ekran görüntüsü yakalamayı içeren çevrimiçi dolandırıcılık yönetimi şirketi Cleafy'deki tehdit istihbarat ekibi tarafından keşfedildi.
Araştırmacılar, son Medusa varyantlarının ilk kanıtının Temmuz 2023'ten itibaren olduğunu söylüyor. Cleafy, kötü amaçlı yazılımları damlalık uygulamaları aracılığıyla yan yana yüklemek için SMS kimlik avına ('sminging') dayanan kampanyalarda gözlemledi.
Araştırmacılar, kötü amaçlı yazılımları kullanarak 24 kampanya keşfettiler ve kötü amaçlı uygulamalar sunan beş ayrı botnet'e (unkn, afetzede, anakonda, pembe ve tony) bağladılar.
Unkn Botnet, Avrupa'daki ülkeleri, özellikle Fransa, İtalya, İspanya ve İngiltere'yi hedeflemeye odaklanan farklı bir tehdit aktörleri kümesi tarafından işletilmektedir.
Bu saldırılarda kullanılan son damlalık uygulamaları arasında sahte bir krom tarayıcı, 5G bağlantı uygulaması ve 4K Sports adlı sahte bir akış uygulaması bulunmaktadır.
UEFA Euro 2024 şampiyonluğunun şu anda devam ettiği göz önüne alındığında, bir yem olarak 4K Sports Streaming uygulamasının seçimi zamanında görünüyor.
Cleafy, tüm kampanyaların ve botnetlerin Medusa’nın merkezi altyapısı tarafından ele alındığını ve bu da ortak sosyal medya profillerinden komut ve kontrol (C2) sunucusu için URL'leri dinamik olarak getirdiğini söylüyor.
Medusa kötü amaçlı yazılım yazarları, uzlaşmış cihazlardaki ayak izini azaltmayı tercih ettiler, şimdi sadece küçük bir izin kümesi talep ediyorlar, ancak yine de Android'in erişilebilirlik hizmetlerini gerektiriyor.
Ayrıca, kötü amaçlı yazılım, kurbanın iletişim listesine erişme ve önemli bir dağıtım yöntemi olan SMS gönderme yeteneğini korur.
Cleafy’nin analizi, kötü amaçlı yazılım yazarlarının kötü amaçlı yazılımın önceki sürümünden 17 komutu kaldırdığını ve beş yeni eklediklerini gösteriyor:
"SetOverlay" komutu, uzak saldırganların, arka planda meydana gelen kötü niyetli ODF faaliyetlerini maskelemek için cihazın kilitli görünmesini/kapatılmasını sağlamak gibi aldatıcı eylemler gerçekleştirmesine izin verdiği için dikkat çekicidir.
Ekran görüntülerini yakalama özelliği de önemli bir ektir ve tehdit aktörlerine enfekte olmuş cihazlardan hassas bilgileri çalmanın yeni bir yolu sunar.
Genel olarak, Medusa Mobil Bankacılık Truva Operasyonu, hedefleme kapsamını genişletiyor ve daha fazla yer alıyor, daha büyük dağıtım ve daha fazla kurban sayısı için zemin hazırlıyor.
Cleafy, Google Play'deki damlalık uygulamalarının hiçbirini gözlemlememiş olsa da, MAA'lara katılan siber suçluların sayısı arttıkça, dağıtım stratejileri çeşitlenmeye ve daha karmaşık hale gelmeye zorlanır.
Google Play'de 5.5 milyon yüklemeli 90'dan fazla kötü niyetli Android uygulaması
Finlandiya, banka hesaplarını ihlal eden Android kötü amaçlı yazılım saldırılarını uyarıyor
Yeni Wpeeper Android kötü amaçlı yazılım, hacklenen WordPress sitelerinin arkasına saklanıyor
Kar kibi kötü amaçlı yazılım, Android Güvenlik Özelliğini Güvenliği Bahsetmek İçin Kötüye Kullanıyor
Rafel Rat fidye yazılımı saldırılarında modası geçmiş Android telefonları hedefliyor
Kaynak: Bleeping Computer