Siber Muhbir

Siber güvenlik satıcısı Human Security'nin bir uyarısına göre, on binlerce Android cihaz arka kapılı ürün yazılımı ile son kullanıcılara gönderildi.

Human Security, BadBox (PDF) adlı küresel siber suç operasyonunun bir parçası olarak, 70.000'den fazla Android akıllı telefonun, CTV kutusunun ve tablet cihazın donanım yazılımına Triada kötü amaçlı yazılımını bulaştırmak için tedarik zinciri güvenliğinin ihlal edilmesine güvenen bir tehdit aktörü buldu.

Virüslü cihazlar en az bir Çinli üreticiden geliyor, ancak satıcılara, fiziksel perakende mağazalarına ve e-ticaret depolarına teslim edilmeden önce ürün yazılımlarına bir arka kapı enjekte edildi.

Human, "Arka kapıyı içerdiği bilinen ürünler, Amerika Birleşik Devletleri'ndeki devlet okulu ağlarında bulundu" diyor.

2016 yılında keşfedilen Triada, bir cihazın RAM'inde bulunan, Android'deki tüm uygulamaları bağlamak için Zygote işlemine dayanan ve sistem dosyalarını değiştirmek için aktif olarak kök ayrıcalıklarını kullanan modüler bir truva atıdır. Zamanla, kötü amaçlı yazılım çeşitli yinelemelerden geçti ve en az iki kez düşük maliyetli Android cihazlara önceden yüklenmiş olarak bulundu.

Human Security'nin keşfettiği BadBox operasyonunun bir parçası olarak, virüslü düşük maliyetli Android cihazlar, tehdit aktörlerinin, zirvede kötü amaçlı yazılım bulaşmış 121.000 Android ve 159.000 iOS cihazına ve sahte bir arz tarafı platformuna (SSP) bağlanmak için tasarlanmış 39 Android, iOS ve CTV merkezli uygulamaya dayanan PeachPit adlı bir cihaz da dahil olmak üzere çeşitli reklam sahtekarlığı planları gerçekleştirmesine olanak tanır.

Komuta ve kontrol (C&C) sunucusundan virüslü cihazlara teslim edilen modüllerden biri, kullanıcıdan tamamen gizlenen, ancak "reklam istemek, işlemek ve tıklamak için kullanılan, reklam isteklerini belirli uygulamalardan geliyormuş gibi göstermek, belirli web siteleri tarafından yönlendirilen ve belirli cihazlarda oluşturulan" Web Görünümlerinin oluşturulmasına izin verir.

Human Security'nin belirttiği BadBox, tehdit aktörlerinin kurbanın ağına erişim satmasına olanak tanıyan bir konut proxy modülü de içeriyor. Ayrıca, daha sonra diğer kötü amaçlı etkinlikler için kullanabilecekleri WhatsApp mesajlaşma hesapları ve Gmail hesapları oluşturabilirler.

"Son olarak, arka kapının BadBox bulaşmış akıllı telefonlar, tabletler ve CTV kutularındaki C2 sunucularına bağlantısı nedeniyle, yeni uygulamalar veya kodlar, cihaz sahibinin izni olmadan tehdit aktörleri tarafından uzaktan yüklenebilir. BadBox'ın arkasındaki tehdit aktörleri, tamamen yeni planlar geliştirebilir ve bunları cihaz sahiplerinden herhangi bir etkileşim olmadan BadBox bulaşmış cihazlara dağıtabilir" diyor.

Siber güvenlik firması, PeachPit reklam sahtekarlığı planını bozmayı başardığını ve BadBox operatörlerinin C&C sunucularını kapattığını, muhtemelen uygulanan savunma önlemlerini uyarlamak ve atlatmak için olduğunu söylüyor.

Human ayrıca, BadBox bulaşmış cihazların son kullanıcılar tarafından temizlenemeyeceği konusunda uyarıyor, çünkü arka kapı ürün yazılımı bölümünde bulunuyor ve neredeyse tüm virüslü cihazların daha düşük fiyat noktası olduğunu ve kullanıcıların yeni ürünler satın alırken tanıdık markaları seçmelerini tavsiye ediyor.