Telefon güvenliğinde çoğu tavsiye "şüpheli uygulama kurma, bilinmeyen kaynaktan APK yükleme" üzerine kuruludur. Peki ya zararlı yazılım siz telefonu ilk kez açmadan önce, fabrikadan çıktığı anda içindeyse? Bitdefender'ın ortaya çıkardığı Midnight Mimosa kampanyası tam olarak bu senaryo.
Olay ne?
Araştırmacılar, düşük maliyetli ve MediaTek yonga setli bazı Android telefonların firmware'ine (sistem bölümüne) gömülü zararlı yazılım buldu. Bu yazılım cihaz kullanıcıya ulaştığında zaten kurulu olduğu için normal uygulama kaldırma yöntemiyle silinemiyor. Kampanya yaklaşık iki yılda 150'den fazla ülkede binlerce cihazı etkilemiş; en çok vaka Meksika, Fransa, İtalya, ABD, Almanya, Brezilya ve İspanya'da.
Raporda adı geçen modeller arasında Doogee S200 X, Doogee Fire 3 Max, Cubot KINGKONG X ve Samsung/Apple taklidi sahte cihazlar var. Bir Doogee Fire 3 Max sahibi, resmi bir firmware güncellemesinin cihazı tekrar enfekte ettiğini bildirmiş.
Teknik olarak neden tehlikeli?
Zararlının çekirdeği, platform anahtarıyla imzalanmış bir sistem uygulaması. Android bu yüzden ona güveniyor ve yüksek yetki veriyor. Kullandığı sahte paket adları gerçek sistem bileşenlerini taklit ediyor: com.android.system.lite, com.android.sys.prot, com.android.sys.gmsprot gibi.
Bu yetkilerle yapabildikleri:
- Sessizce uygulama kurup kaldırmak, izin vermek, sunucudan indirdiği kodu çalıştırmak.
- IMEI, Android ID, MAC adresi ve saat dilimini komuta sunucusuna göndermek.
- Erişilebilirlik (Accessibility), bildirim ve SMS izinlerini kendine vermek.
İlginç kaçınma tekniği: zararlı, uygulama kurmadan hemen önce Google Play Store'u (com.android.vending) geçici olarak devre dışı bırakıyor; böylece Play Protect kurulumu yakalayamıyor. Kurulum bitince Play Store'u tekrar açıyor. Bazı sürümler kurulum kaynağını da manipüle ederek uygulamaları "Google Play'den gelmiş" gibi gösteriyor.
Amaç ne, para mı casusluk mu?
Bitdefender'a göre ana motivasyon reklam dolandırıcılığı. Düşürülen sahte uygulamalar (hava durumu, uygulama kilidi, not alma, OCR araçları gibi) meşru bir reklam SDK'sı ile gizli pencerelerde gerçek reklam yükleyip sahte gösterim ve tıklama üretiyor. Ayrıca bazı cihazlar konut proxy'si (residential proxy) olarak kaydediliyor; yani başkalarının trafiği sizin telefonunuzun internet bağlantısı üzerinden geçirilebiliyor. Araştırmacılar proxy komuta altyapısının çalışır durumda olduğunu doğruladı ancak kendi test cihazlarına aktif bir hedef gelmediği için trafiğin fiilen yönlendirilip yönlendirilmediğini teyit edemedi.
Burada benim altını çizmek istediğim nokta: SMS ve Erişilebilirlik izinleri şu an reklam için kullanılıyor olabilir, ama bu bir yetenek. Aynı yetki, bir gün bankacılık SMS kodlarını okumak için de kullanılabilir. Bu yüzden bu tip bir cihazı kimlik doğrulama (OTP) cihazı olarak kullanmak çok riskli.
Temizlenebilir mi?
Kolay değil. Zararlı yüksek yetkili bir sistem uygulaması olduğu için fabrika ayarlarına döndürmek yetmiyor. Temizlik için firmware'in yeniden yüklenmesi ya da bileşenin ADB (Android Debug Bridge) ile devre dışı bırakılması gerekiyor; bu da ortalama kullanıcı için zor.
Pratik öneriler
- İş ve kimlik doğrulama için markasız/çok ucuz Android telefonları kullanmayın.
- Kurumsalsanız MDM envanterinde yukarıdaki paket adlarını arayın.
- Telefonu banka veya OTP cihazı yapacaksanız platform bütünlük doğrulamasını (Play Integrity) geçen cihazları tercih edin; yönetilmeyen Android'lerdeki SMS tabanlı OTP'yi zayıf kabul edin.
- Kullanıcılara fabrika sıfırlamasının firmware zararlısını temizlemediğini anlatın.
Yasal ve etik not
Bu konu bir farkındalık/haber derlemesidir; amaç yalnızca kendi cihazınızı ve kurumunuzun yönettiği cihazları korumaktır. Başkasının cihazına izinsiz erişim ya da müdahale TCK kapsamında suçtur.
Kaynakça
- BleepingComputer - Low-cost Android phones ship with residential proxy malware: https://www.bleepingcomputer.com/news/se...y-malware/
- Bitdefender Labs - The phone was compromised before the user turned it on: the rise of Midnight Mimosa: https://www.bitdefender.com/en-us/blog/l...sa-malware
- SecurityWeek - Pre-Baked Firmware Malware Hits Budget Android Devices in 150+ Countries: https://www.securityweek.com/pre-baked-f...countries/
Görsel: TurkTeam özgün kapak görseli
İmza
TurkTeam Yonetim | Bilgi ozgurdur, etik yon verir. | Beyaz sapkayi hic cikarma.