Siber Muhbir

PEACHPIT adlı bir reklam sahtekarlığı botnet'i, planın arkasındaki tehdit aktörleri için yasa dışı karlar elde etmek için yüz binlerce Android ve iOS cihazından oluşan bir ordudan yararlandı.

Botnet, BADBOX kod adlı daha büyük bir Çin merkezli operasyonun bir parçasıdır ve aynı zamanda popüler çevrimiçi perakendecilerde ve Triada adlı bir Android kötü amaçlı yazılım türüyle arka kapılı yeniden satış sitelerinde marka dışı mobil ve bağlı TV (CTV) cihazlarının satılmasını gerektirir.

HUMAN, "PEACHPIT botnet'in ilişkili uygulamalar kümesi, Android'de günde 227.121 cihaz ve iOS'ta günde 000.159 cihaz tahmini zirve ile 000 ülke ve bölgede bulundu" dedi.

Enfeksiyonların, 39 milyondan fazla kez yüklenen 15 uygulamadan oluşan bir koleksiyon aracılığıyla gerçekleştirildiği söyleniyor. Kötü amaçlı yazılımla donatılmış cihazlar, operatörlerin hassas verileri çalmasına, konut proxy çıkış eşleri oluşturmasına ve sahte uygulamalar aracılığıyla reklam sahtekarlığı yapmasına izin verdi.

Şu anda Android cihazların bir ürün yazılımı arka kapısıyla nasıl tehlikeye atıldığı net değil, ancak kanıtlar bir donanım tedarik zinciri saldırısına işaret ediyor.

Şirket, "Tehdit aktörleri, cihazlardan tek seferlik şifreler çalarak WhatsApp mesajlaşma hesapları oluşturmak için arka kapılı cihazları da kullanabilir" dedi.

"Ek olarak, tehdit aktörleri, hesap gerçek bir kişi tarafından normal bir tablet veya akıllı telefondan oluşturulmuş gibi göründüğü için tipik bot tespitinden kaçınarak Gmail hesapları oluşturmak için cihazları kullanabilir."

Suç girişimiyle ilgili ayrıntılar ilk olarak Mayıs 2023'te Trend Micro tarafından belgelendi ve Lemon Group olarak takip ettiği bir düşmana atfedildi.

HUMAN, cep telefonları, tabletler ve CTV ürünleri de dahil olmak üzere BADBOX enfeksiyonu belirtileri gösteren en az 200 farklı Android cihaz türü belirlediğini ve bunun yaygın bir operasyon olduğunu gösterdiğini söyledi.

Reklam sahtekarlığının dikkate değer bir yönü, Apple App Store ve Google Play Store gibi büyük uygulama pazarlarında kullanıma sunulan Android ve iOS'ta sahte uygulamaların yanı sıra arka kapılı BADBOX cihazlarına otomatik olarak indirilen uygulamaların kullanılmasıdır.

Android uygulamalarında, daha sonra reklam istemek, oluşturmak ve tıklamak için kullanılan gizli Web Görünümleri oluşturmaktan ve daha önce VASTFLUX durumunda gözlemlenen bir teknik olan reklam isteklerini meşru uygulamalardan geliyormuş gibi göstermekten sorumlu bir modül bulunur.

Dolandırıcılık önleme firması, operasyonu bozmak için Apple ve Google ile birlikte çalıştığını belirtti ve "BADBOX'ın geri kalanının hareketsiz olduğu düşünülmelidir: BADBOX ürün yazılımı arka kapı enfeksiyonuna güç veren C2 sunucuları tehdit aktörleri tarafından kapatıldı" dedi.

Dahası, bu yılın başlarında yayınlanan bir güncellemenin, Kasım 2022'de uygulanan azaltma önlemlerine yanıt olarak BADBOX bulaşmış cihazlarda PEACHPIT'e güç veren modülleri kaldırdığı tespit edildi.

Bununla birlikte, saldırganların savunmayı atlatmak için taktiklerini ayarladıklarından şüpheleniliyor.

HUMAN, "İşleri daha da kötüleştiren şey, operatörlerin tespit edilmemek için yaşadıkları şaşırtma seviyesidir, bu da artan karmaşıklıklarının bir işaretidir" dedi. "Herkes, sahte olduğunu bilmeden, fişe takmadan ve bilmeden bu arka kapı kötü amaçlı yazılımını açmadan yanlışlıkla bir BADBOX cihazını çevrimiçi olarak satın alabilir."