Hirudo Android Bankacılık Trojanı: Gerçek Uygulamayı Sahte Kopyasıyla Değiştiriyor 10-16-2026, 08:12 AM (Son Düzenleme: 10-16-2026, 05:02 PM, Düzenleyen: Tonyukuk.)
Hirudo: Android Bankacılık Trojanları Yeni Seviyeye Çıktı
Selamlar,
Hollandalı mobil güvenlik firması ThreatFabric, 14 Ekim 2026'da Hirudo adlı yeni bir Android bankacılık RAT'ını (Remote Access Trojan) açıkladı. Hirudo klasik "üstüne bir üst katman çiz" yaklaşımının ötesine geçiyor: Hedef banka uygulamasını tespit edip, onu amaçlı olarak yamalanmış bir kopyasıyla değiştiriyor ve uygulamanın kendi imza, erişilebilirlik, ekran koruma ve Play Integrity kontrollerini içeriden kör ediyor. Bu konuda saldırının nasıl çalıştığını ve kullanıcıların / kurumların nasıl korunabileceğini özetliyoruz.
Konuda Anlatılacaklar
- Hirudo nedir, kimleri hedefliyor?
- Dağıtım zinciri: Sahte mağaza sayfaları ve dropper uygulamalar
- Bankacılık uygulamasını değiştirme mekanizması
- Play Integrity ve imza kontrollerinin nasıl atlatıldığı
- Kullanıcı ve kurum için koruma önerileri
- Kaynakça
1) Hirudo Nedir?
Hirudo; kimlik bilgisi hırsızlığı, cihaz ele geçirme, ekran ve kamera yakalama ile SMS hırsızlığını tek bir arka uçta birleştiren olgun bir operasyon. ThreatFabric, Endonezya'daki sekiz bankacılık uygulamasının özel yamalanmış kopyalarını tespit etti. Kimlik bilgisi hedefleri ise Endonezya, Çin, Hindistan, Meksika, Fas ve Tayland'ı kapsıyor. ThreatFabric'in dolandırıcılık mühendisliği başkan yardımcısı Eward Driehuis'in ifadesiyle operasyon "oldukça olgun bir arka uç" ile cihaz kontrolünü birleştiriyor.
2) Dağıtım Zinciri
Kullanıcılar Meta platformlarındaki reklamlardan, Google Play Store gibi görünen sahte web sayfalarına yönlendiriliyor. Bu sayfalar alışveriş, kısa dizi veya futbol uygulamaları gibi görünüyor. Dropper uygulamalar (örnek paket isimleri ThreatFabric raporunda geçiyor: Shopora, 1V1 X, KoiShort, ZoyaTV) gerçek içerik yüklüyor; arka planda ise kampanya yapılandırmasını çekip Hirudo RAT'ının kurulu olup olmadığını kontrol ediyor.
Kurulu değilse sahte bir "güncelleme" istemi gösteriyor. Hirudo ayrı bir uygulama olarak kuruluyor ve kendi izinlerini (erişilebilirlik, bildirim erişimi) ayrı ayrı istiyor. Yükleme öncesinde StreamRat'ta da görülen bir anti-tespit tekniği kullanılıyor: Bilinçli olarak çalışmayan bir VPN bağlantısı kurarak interneti kesip Google Play Protect'in bulut tabanlı kontrollerini zayıflatmaya çalışıyor. ThreatFabric, Play Protect'in çevrimdışı bilinen zararlı uygulama tespitinin bu yöntemle tamamen kapanmadığını, tekniğin daha çok çevrimiçi itibar ve kod analizi mekanizmalarını zayıflatmayı hedeflediğini değerlendiriyor.
3) Bankacılık Uygulamasını Değiştirme
Hirudo'nun asıl farkı burada. RAT, erişilebilirlik servisi üzerinden yüklü banka uygulamasını tespit ediyor, imza sertifikasını saklı bir referansla karşılaştırıyor ve sahte bir "güncelleme" istemi gösteriyor. Gerçek uygulamanın kaldırma ekranını kullanıcıya dokunmasını beklemeden açıyor; aynı anda bankaya özel yamalanmış kopyayı indiriyor. Kopya orijinal paket adını ve sürüm görünümünü koruyor ama test anahtarıyla imzalanmış durumda.
Bu "önce kaldır, sonra yükle" zorunluluğu saldırgan için bir kısıt; ancak karşılığında uygulama içi güvenlik kontrollerini içeriden kör etme imkanı veriyor.
4) Play Integrity ve İmza Kontrollerinin Atlatılması
Yamalanmış kopyanın içine gömülen kanca (hooking) motoru (YAHFA/Dobby) şu yanıtları sahte üretiyor:
- İmza sorgusunda gerçek uygulamanın imza sertifikasını döndürüyor.
- Etkin erişilebilirlik servisleri listesini boş döndürüyor.
- FLAG_SECURE bayrağını kaldırarak ekranın uzaktan izlenmesini ve kaydedilmesini mümkün kılıyor.
- Anahtar onaylama (key attestation) sertifikalarını sızdırılmış bir keybox ile yeniden imzalıyor.
- Play Integrity isteklerini düz HTTP üzerinden saldırganın sunucusuna iletiyor; sunucu uygulama için geçerli görünen bir karar döndürüyor.
5) Korunma Önerileri
Son kullanıcı:
- Uygulamaları yalnızca resmi Google Play veya bankanın kendi sitesinden yükleyin; reklamlardan gelen "ücretsiz TV / alışveriş / kısa dizi" uygulamalarına şüpheyle yaklaşın.
- Banka uygulaması birdenbire "güncelleme" diye kaldırma ekranı açarsa işlemi durdurun ve bankayı arayın.
- Bilinmeyen kaynaklardan APK yüklemeyi (Unknown Sources) kapalı tutun.
- Erişilebilirlik izni isteyen uygulamaları çok sıkı denetleyin; bankacılık dışı uygulamaların bu izne ihtiyacı nadirdir.
Banka ve kurum:
- Uygulama imzası, erişilebilirlik listesi ve Play Integrity kararını yalnızca istemci tarafında doğrulamayın; sunucu tarafında yeniden doğrulayın.
- Keybox sızıntılarını ve bilinen yeniden imzalama göstergelerini tehdit istihbaratınızla takip edin.
- Kullanıcı oturumlarında cihaz bütünlüğü sinyallerinin ani değişimini izleyin.
- Müşteri destek kanallarında "banka uygulaması kaldırma / yeniden yükleme" taleplerini olası enfeksiyon göstergesi olarak ele alın.
Kaynakça
- The Hacker News - Hirudo Android Trojan Uses Patched Banking Apps
- ThreatFabric - Hirudo: From Fake Updates to Patched Banking Apps
- BleepingComputer - Hirudo Android malware replaces banking apps
- SecurityWeek - Novel Android RAT Hirudo
Görsel: TurkTeam özgün kapak görseli.