Gizemli kötü maksatlı yazılım, yıllarca Google Play’de saklandı!

Google Play ‘de uzun süre fark edilmeden gizlenen Mandrake isimli kötü hedefli yazılım, yeniden ortaya çıktı. İlk olarak 2020’de Bitdefender tarafından tespit edilen bu ziyanlı yazılım, yıllar boyunca çeşitli uygulamalar aracılığıyla kullanıcıları gözetlemiş ve hassas bilgilerini çalmıştı.

Kötü gayeli yazılım Mandrake, Google Play ‘de nasıl gizlendi?

Mandrake kötü emelli yazılımı, Android aygıtlarda yıllarca fark edilmeden kalabilmek için eşsiz usuller kullanıyordu. İlk olarak 2016-2017 ve 2018-2020 yılları arasında iki dalga halinde ortaya çıkan Mandrake, 90 ülkede faal olmamak, hedeflenen kurbanlara özel yükler göndermek ve kendini tamamen silen bir “seppuku” anahtarı gibi sistemlerle tespit edilmekten kaçındı. Ayrıyeten, tamamen fonksiyonel uydurma uygulamalar ve kusurları süratle düzelten bir sistemle kullanıcıları yanıltmayı başardı.

Kaspersky tarafından tespit edilip Google Play’den kaldırılan o uygulamalar:

Bitdefender’ın 2020 raporuna göre, bu ziyanlı yazılımın kurbanları on binlerce, hatta dört yıllık sürede yüz binlerce kişiyi buldu. 2022 yılında Kaspersky, Mandrake’in yeniden Google Play’de gizlendiğini ve daha da gelişmiş formüllerle kullanıcıları hedef aldığını rapor etti.

Mandrake’in yeni kuşağı, kötü maksatlı davranışlarını gizlemek için bir dizi gelişmiş teknik kullanıyor. Araştırmacıların kötü hedefli yazılımı tespit etmesini zorlaştıran bu prosedürler arasında çok katmanlı obfuscation (karartma) ve yerel kütüphanelere taşınan ziyanlı işlevler yer alıyor. Mandrake, ziyanlı kodlarını native library (yerel kütüphane) olarak bilinen libopencv_dnn.so evrakına taşıyarak, tahlil edilmesini ve tespit edilmesini zorlaştırıyor.

Yeni jenerasyon Mandrake, kullanıcıların kimlik bilgilerini çalmak ve sonraki evrelerde ziyanlı uygulamaları indirmek için ekran kaydı benzeri formüller kullanıyor. Ekran kayıtları, denetim sunucusundan gelen komutlarla başlatılıyor ve kullanıcıların girilen bilgileri gizlice kaydediliyor.

Kaspersky araştırmacıları Tatyana Shishkova ve Igor Golovin, Mandrake’in dinamik olarak geliştiğini ve tekniklerini daima güzelleştirdiğini belirtti. Bu gelişmeler, ziyanlı yazılımın araştırmacılar tarafından tespit edilmesini zorlaştırıyor ve Google Play’in denetleme süreçlerini aşmasına imkan tanıyor.

Kaspersky tarafından tespit edilen ve Mandrake içeren uygulamalar, Google Play’den kaldırılmış durumda. Lakin bu, ziyanlı yazılımın gelecekte farklı formüllerle yeniden ortaya çıkmayacağı manasına gelmiyor. Bundan Ötürü titiz olmakta yarar var.