En tehlikeli zararlı yazılım türleri arasında yer alan arka kapılar saldırganlara hedef aldıkları cihaz üzerinde neredeyse tam kontrol sağlıyor. MobOk da bunlardan biri. Google Play’e yüklenen içerikler sıkı filtrelerden geçse de tehditlerin bu yolla kullanıcı cihazlarına ulaşmasına daha önce de rastlandı. Çoğu vakada arka kapılar yarı çalışan bir uygulamanın içine saklanıyor. Bu uygulamalar ilk bakışta başarısız fakat masum birer yasal uygulama denemesi gibi görünüyor. İçinde gerçekten de fotoğraf düzenleme özellikleri bulunan ve güvenilir Google Play mağazasından indirilen Pink Camera uygulamalarının şüphe çekmemesinin nedeni de bu.
Ancak kullanıcılar Pink Camera ile resimlerini düzenlemeye başladığında, uygulama bildirimlere erişim izni istiyor. Arka planda zararlı faaliyet de bu iznin alınmasıyla başlıyor. Bu izin sayesinde kullanıcıyı ücretli mobil abonelik servislerine üye yapmak mümkün oluyor. Bunlar genellikle cep telefonu faturasına eklenen günlük ödemeler karşılığında bir hizmet verdiğini söyleyen web sayfaları oluyor. Müşterilerin kaliteli servislere üye olmasını kolaylaştırmak için mobil operatörler tarafından geliştirilen bu ödeme yöntemi şimdilerde siber saldırganlar tarafından da kullanılıyor.
MobOk kurbanın cihazına bulaştıktan sonra ilgili telefon numarası gibi cihaz bilgilerini toplayarak bunları saldırının ilerleyen safhalarında kullanıyor. Saldırganlar ücretli abonelik servislerine sahip web sayfalarının bilgilerini cihaza gönderiyor, zararlı yazılım da gizli bir web tarayıcısı görevi üstlenerek bunları açıyor. Daha önce alınan telefon numarasını kullanan yazılım, abonelik bölümüne bu numarayı giriyor ve satın alma işlemini tamamlıyor. Cihaz üzerinde tam kontrole sahip olan ve bildirimleri kontrol edebilen yazılım, SMS onay kodu geldiğinde bunu kullanıcıyı uyarmadan girebiliyor. Kurban telefon faturasında ödemeleri fark edip her bir servisin aboneliğini iptal edene kadar para toplanmaya devam ediyor.
Kaspersky Güvenlik Araştırmacısı Igor Golovin, “Pink Camera uygulamalarının fotoğraf düzenleme özellikleri pek iyi olmasa da arka planda yapabildikleri diğer şeyler gerçekten inanılmaz. Bu uygulamalar kullanıcıları Rusça, İngilizce ve Tayca dillerindeki para tuzağı servislere üye yapabiliyor, SMS’leri takip edebiliyor ve çevrim içi servislere abone olurken robot olmadığınızı kanıtlamak için yazmanız gereken Captcha kodlarını talep edebiliyor. Böylece kurbanların banka hesaplarından para çalma potansiyeline de sahip oluyorlar. Saldırganların hem bu özgün olmayan abonelik servislerini hem de kullanıcıları çeken zararlı yazılımı birlikte geliştirdiğini ve dünya genelinde geniş kitlelere ulaşmayı hedeflediğini düşünüyoruz.” dedi.
Kaspersky, MobOk zararlı yazılımını HEUR:Trojan.AndroidOS.MobOk.a şeklinde tespit ediyor.