Google Play ‘de uzun süre fark edilmeden gizlenen Mandrake isimli kötü amaçlı yazılım, yeniden ortaya çıktı. İlk olarak 2020’de Bitdefender tarafından tespit edilen bu zararlı yazılım, yıllar boyunca çeşitli uygulamalar aracılığıyla kullanıcıları gözetlemiş ve hassas bilgilerini çalmıştı.
Kötü amaçlı yazılım Mandrake, Google Play ‘de nasıl gizlendi?
Mandrake kötü amaçlı yazılımı, Android cihazlarda yıllarca fark edilmeden kalabilmek için benzersiz yöntemler kullanıyordu. İlk olarak 2016-2017 ve 2018-2020 yılları arasında iki dalga halinde ortaya çıkan Mandrake, 90 ülkede aktif olmamak, hedeflenen kurbanlara özel yükler göndermek ve kendini tamamen silen bir “seppuku” anahtarı gibi yöntemlerle tespit edilmekten kaçındı. Ayrıca, tamamen işlevsel sahte uygulamalar ve hataları hızla düzelten bir sistemle kullanıcıları yanıltmayı başardı.
Kaspersky tarafından tespit edilip Google Play’den kaldırılan o uygulamalar:
| Paket adı | Uygulama adı | MD5 | Geliştirici | Yayın tarihi | Son güncellemesi | İndirme sayısı |
|---|---|---|---|---|---|---|
| com.airft.ftrnsfr | AirFS | 33fdfbb1acdc226eb177eb42f3d22db4 | it9042 | 28 Nisan 2022 | 15 Mart 2024 | 30.305 |
| com.astro.dscvr | Astro Explorer | 31ae39a7abeea3901a681f847199ed88 | shevabad | 30 Mayıs 2022 | 6 Haziran 2023 | 718 |
| com.shrp.sght | Amber | b4acfaeada60f41f6925628c824bb35e | kodaslda | 27 Şubat 2022 | 19 Ağustos 2023 | 19 |
| com.cryptopulsing.browser | CryptoPulsing | e165cda25ef49c02ed94ab524fafa938 | shevabad | 2 Kasım 2022 | 6 Haziran 2023 | 790 |
| com.brnmth.mtrx | Brain Matrix | – | kodaslda | 27 Nisan 2022 | 6 Haziran 2023 | 259 |
Bitdefender’ın 2020 raporuna göre, bu zararlı yazılımın kurbanları on binlerce, hatta dört yıllık sürede yüz binlerce kişiyi buldu. 2022 yılında Kaspersky, Mandrake’in yeniden Google Play’de gizlendiğini ve daha da gelişmiş yöntemlerle kullanıcıları hedef aldığını rapor etti.
Mandrake’in yeni nesli, kötü amaçlı davranışlarını gizlemek için bir dizi gelişmiş teknik kullanıyor. Araştırmacıların kötü amaçlı yazılımı tespit etmesini zorlaştıran bu yöntemler arasında çok katmanlı obfuscation (karartma) ve yerel kütüphanelere taşınan zararlı fonksiyonlar yer alıyor. Mandrake, zararlı kodlarını native library (yerel kütüphane) olarak bilinen libopencv_dnn.so dosyasına taşıyarak, analiz edilmesini ve tespit edilmesini zorlaştırıyor.
Yeni nesil Mandrake, kullanıcıların kimlik bilgilerini çalmak ve sonraki aşamalarda zararlı uygulamaları indirmek için ekran kaydı gibi yöntemler kullanıyor. Ekran kayıtları, kontrol sunucusundan gelen komutlarla başlatılıyor ve kullanıcıların girilen bilgileri gizlice kaydediliyor.
Kaspersky araştırmacıları Tatyana Shishkova ve Igor Golovin, Mandrake’in dinamik olarak geliştiğini ve yöntemlerini sürekli iyileştirdiğini belirtti. Bu gelişmeler, zararlı yazılımın araştırmacılar tarafından tespit edilmesini zorlaştırıyor ve Google Play’in denetleme süreçlerini aşmasına olanak tanıyor.
Kaspersky tarafından tespit edilen ve Mandrake içeren uygulamalar, Google Play’den kaldırılmış durumda. Ancak bu, zararlı yazılımın gelecekte farklı yöntemlerle yeniden ortaya çıkmayacağı anlamına gelmiyor. Dolayısıyla dikkatli olmakta fayda var.
