Google Play ‘de uzun süre fark edilmeden gizlenen Mandrake isimli kötü amaçlı yazılım, yeniden ortaya çıktı. İlk olarak 2020’de Bitdefender tarafından tespit edilen bu zararlı yazılım, yıllar boyunca çeşitli uygulamalar aracılığıyla kullanıcıları gözetlemiş ve hassas bilgilerini çalmıştı.

Kötü amaçlı yazılım Mandrake, Google Play ‘de nasıl gizlendi?

Mandrake kötü amaçlı yazılımı, Android cihazlarda yıllarca fark edilmeden kalabilmek için benzersiz yöntemler kullanıyordu. İlk olarak 2016-2017 ve 2018-2020 yılları arasında iki dalga halinde ortaya çıkan Mandrake, 90 ülkede aktif olmamak, hedeflenen kurbanlara özel yükler göndermek ve kendini tamamen silen bir “seppuku” anahtarı gibi yöntemlerle tespit edilmekten kaçındı. Ayrıca, tamamen işlevsel sahte uygulamalar ve hataları hızla düzelten bir sistemle kullanıcıları yanıltmayı başardı.

Kaspersky tarafından tespit edilip Google Play’den kaldırılan o uygulamalar:

Paket adı	Uygulama adı	MD5	Geliştirici	Yayın tarihi	Son güncellemesi	İndirme sayısı
com.airft.ftrnsfr	AirFS	33fdfbb1acdc226eb177eb42f3d22db4	it9042	28 Nisan 2022	15 Mart 2024	30.305
com.astro.dscvr	Astro Explorer	31ae39a7abeea3901a681f847199ed88	shevabad	30 Mayıs 2022	6 Haziran 2023	718
com.shrp.sght	Amber	b4acfaeada60f41f6925628c824bb35e	kodaslda	27 Şubat 2022	19 Ağustos 2023	19
com.cryptopulsing.browser	CryptoPulsing	e165cda25ef49c02ed94ab524fafa938	shevabad	2 Kasım 2022	6 Haziran 2023	790
com.brnmth.mtrx	Brain Matrix	–	kodaslda	27 Nisan 2022	6 Haziran 2023	259

Bitdefender’ın 2020 raporuna göre, bu zararlı yazılımın kurbanları on binlerce, hatta dört yıllık sürede yüz binlerce kişiyi buldu. 2022 yılında Kaspersky, Mandrake’in yeniden Google Play’de gizlendiğini ve daha da gelişmiş yöntemlerle kullanıcıları hedef aldığını rapor etti.

Mandrake’in yeni nesli, kötü amaçlı davranışlarını gizlemek için bir dizi gelişmiş teknik kullanıyor. Araştırmacıların kötü amaçlı yazılımı tespit etmesini zorlaştıran bu yöntemler arasında çok katmanlı obfuscation (karartma) ve yerel kütüphanelere taşınan zararlı fonksiyonlar yer alıyor. Mandrake, zararlı kodlarını native library (yerel kütüphane) olarak bilinen libopencv_dnn.so dosyasına taşıyarak, analiz edilmesini ve tespit edilmesini zorlaştırıyor.

Yeni nesil Mandrake, kullanıcıların kimlik bilgilerini çalmak ve sonraki aşamalarda zararlı uygulamaları indirmek için ekran kaydı gibi yöntemler kullanıyor. Ekran kayıtları, kontrol sunucusundan gelen komutlarla başlatılıyor ve kullanıcıların girilen bilgileri gizlice kaydediliyor.

Kaspersky araştırmacıları Tatyana Shishkova ve Igor Golovin, Mandrake’in dinamik olarak geliştiğini ve yöntemlerini sürekli iyileştirdiğini belirtti. Bu gelişmeler, zararlı yazılımın araştırmacılar tarafından tespit edilmesini zorlaştırıyor ve Google Play’in denetleme süreçlerini aşmasına olanak tanıyor.

Kaspersky tarafından tespit edilen ve Mandrake içeren uygulamalar, Google Play’den kaldırılmış durumda. Ancak bu, zararlı yazılımın gelecekte farklı yöntemlerle yeniden ortaya çıkmayacağı anlamına gelmiyor. Dolayısıyla dikkatli olmakta fayda var.

Shiftdelete

Kaynak : https://shiftdelete.net/kotu-amacli-yazilim-google-play-mandrake