Kaspersky açıklamasına göre, araştırmacılar tarafından tespit edilen saldırının “OceanLotus” isimli gelişmiş kalıcı saldırı grubuyla bağlantılı olabileceği tahmin ediliyor.
“PhantomLance” adı verilen saldırı, 2015’ten bu yana devam ediyor. Kurbanların verilerini ele geçirmek için tasarlanan karmaşık bir casus yazılımının çeşitli sürümlerinin ve akıllı dağıtım taktiklerinin kullanıldığı saldırı, Google Play’deki uygulamalar aracılığıyla da yayılıyor.
Temmuz 2019’da üçüncü taraf güvenlik araştırmacıları Google Play’de yeni bir casus yazılımı keşfettiklerini raporladı. Gelişmişlik düzeyi ve davranışları resmi uygulama mağazalarına yüklenen diğer Truva atlarından çok farklı olan bu yazılım Kaspersky’nin dikkatini çekti.
Kaspersky araştırmacıları, bu zararlı yazılıma çok benzeyen başka bir örneği Google Play’de tespit etti.
Zararlı yazılım geliştiricileri, uygulamalarını yasal mağazalara yüklemeyi başardıktan sonra indirme sayısını ve bununla beraber kurban sayısını artırmak için uygulamanın tanıtımına büyük yatırım yapıyor.
Yeni keşfedilen zararlı uygulamalarda geliştiricilerin uygulamayı geniş kitlelere yaymakla çok ilgilenmediği gözlemlendi.
Araştırmacılar için bu durum hedefli bir APT saldırısının göstergesi oldu.
Sürümlerin hepsinde temel amaç bilgi toplamaktı. Temel işlev çok geniş olmasa da konum, arama kayıtları, iletişim bilgileri ve kısa mesaj erişiminin yanı sıra kurulu uygulamalar, cihazın modeli ve işletim sistemi ile ilgili bilgilerin toplandığı görüldü.
Ayrıca, tehdit grubunun başka zararlı yazılımlar indirip kurabildiği, böylece saldırıyı cihazın Android sürümüne ve sahip olduğu uygulamalara göre değiştirebildiği anlaşıldı.
Tehdit grubu, bu sayede uygulamayı çok gerekli olmayan özelliklerle doldurmak zorunda kalmadan istediği bilgileri toplayabiliyordu.
Süren araştırmalarda PhantomLance’in Google Play ve APKpure’un da dahil olduğu birçok platform ve pazar yerinde varlık gösterdiği tespit edildi.
“Bu saldırı, tehdit gruplarının karmaşık önlemler aldığının bir örneği”
Kaspersky Security Network’ün elde ettiği verilere göre, 2016’dan bu yana Hindistan, Vietnam, Bangladeş ve Endonezya’da 300’den fazla Android cihazına izinsiz giriş denemesi yapıldı.
Tespit istatistiklerine ikincil sızıntılar dahil olsa da Vietnam, saldırı teşebbüsünün en çok rastlandığı ülke oldu.
Saldırıda kullanılan bazı zararlı uygulamaların özel olarak Vietnamca olduğu da görüldü.
Kaspersky’nin farklı zararlı kodlar arasındaki benzerlikleri bulmaya yarayan aracı sayesinde araştırmacılar, PhantomLance’teki kodların en yüzde 20’sinin OceanLotus adlı gruba atfedilen eski bir Android saldırısıyla benzerlik gösterdiğini belirledi.
2013’ten beri aktif olan OceanLotus grubu genellikle Güneydoğu Asya’daki kurbanları hedef alıyor.
Kaspersky, keşfettiği tüm örnekleri yasal uygulama mağazalarına bildirdi ve Google, bu uygulamaların Google Play’den kaldırıldığını doğruladı.
