Mobil kullanıcılar dikkat! ESET'in son araştırması, masum görünen sahte mesajlaşma uygulamalarının nasıl hassas verilerinizi çalabileceğini gözler önüne seriyor. Özellikle Signal ve ToTok kullanıcılarını hedef alan bu casus yazılım kampanyaları, cihazlarınıza sızarak kişisel bilgilerinizi tehlikeye atıyor. Uzmanlar, resmi olmayan kaynaklardan uygulama indiren ve bilinmeyen kaynaklardan yükleme yapan kullanıcıları şiddetle uyarıyor. Bu tür tehditlerden korunmak için nelere dikkat etmeniz gerektiğini ve hangi adımları atmanız gerektiğini öğrenin. Güvenliğiniz için bu uyarıları dikkate alın!
ESET, Signal ve ToTok kullanıcılarını hedef alan iki Android casus yazılım kampanyası ortaya çıkardı.
ESET'in araştırması, daha önce belgelenmemiş iki casus yazılım ailesinin keşfedilmesine yol açtı: Android/Spy.ProSpy, Signal uygulaması ve tartışmalı ve kullanımdan kaldırılan ToTok uygulaması için yükseltme veya eklenti gibi davranırken Android/Spy.ToSpy ise ToTok uygulamasını taklit ediyor. C&C sunucularının hâlâ aktif olması, ToSpy kampanyalarının devam ettiğini gösteriyor.
Keşfi yapan ESET araştırmacısı Lukáš Štefanko konu ile ilgili yaptığı açıklamada şunları söyledi: "Casus yazılım içeren hiçbir uygulama resmî uygulama mağazalarında mevcut değildi. Her ikisinin de meşru hizmetler gibi görünen üçüncü taraf web sitelerinden manuel olarak yüklenmesi gerekiyor. Özellikle, ToSpy kötü amaçlı yazılım ailesini dağıtan web sitelerinden biri Samsung Galaxy Store'u taklit ederek kullanıcıları ToTok uygulamasının kötü amaçlı bir sürümünü manuel olarak indirip yüklemeye yönlendirdi. Yükledikten sonra, her iki casus yazılım ailesi de kalıcılıklarını koruyor ve güvenliği ihlal edilmiş Android cihazlardan hassas verileri ve dosyaları sürekli olarak sızdırıyor. BAE'de teyit edilen tespitler ve kimlik avı ve sahte uygulama mağazalarının kullanımı, stratejik dağıtım mekanizmalarına sahip bölgesel odaklı operasyonları akla getiriyor."
ESET Research, ProSpy kampanyasını Haziran 2025'te keşfetti ve bu kampanya muhtemelen 2024'ten beri devam ediyor. ProSpy, iletişim platformları Signal ve ToTok'u taklit etmek için tasarlanmış üç aldatıcı web sitesi aracılığıyla dağıtılıyor. Bu siteler, Signal Encryption Plugin ve ToTok Pro kılığına girmiş, iyileştirme gibi görünen kötü amaçlı APK'lar sunuyor. ae.net alt dizesiyle biten bir alan adının kullanılması, kampanyanın Birleşik Arap Emirlikleri'nde ikamet eden kişileri hedeflediğini düşündürüyor çünkü AE, BAE'nin iki harfli ülke kodu.
Soruşturma sırasında ESET, aynı casus yazılım kod tabanını kullanan ve ToTok Pro adı altında ToTok mesajlaşma uygulamasının geliştirilmiş bir sürümü gibi görünen beş adet daha kötü amaçlı APK keşfetti. Birleşik Arap Emirlikleri'nde geliştirilen tartışmalı ücretsiz mesajlaşma ve arama uygulaması ToTok, gözetim endişeleri nedeniyle Aralık 2019'da Google Play ve Apple'ın App Store'undan kaldırıldı. Kullanıcı tabanının çoğunlukla BAE'de olduğu göz önüne alındığında ToTok Pro'nun bu bölgedeki kullanıcıları hedef alıyor olması muhtemel çünkü bu kullanıcılar kendi bölgelerindeki resmî olmayan kaynaklardan uygulamayı indirme eğiliminde olabilirler.
Çalıştırıldığında her iki kötü amaçlı uygulama da cihaza kaydedilmiş kişilere, SMS mesajlarına ve dosyalara erişim izni istiyor. Bu izinler verilirse ProSpy arka planda veri sızdırmaya başlıyor. Signal Encryption Plugin, cihaz bilgilerini, kaydedilmiş SMS mesajlarını ve kişi listesini çıkarır ve sohbet yedeklemeleri, ses, video ve görüntüler gibi diğer dosyaları sızdırır.
Haziran 2025'te, ESET telemetri sistemleri, BAE'de bulunan bir cihazdan kaynaklanan ve aktif olarak yayılan, daha önce belgelenmemiş başka bir Android casus yazılım ailesini tespit etti. ESET, bu kötü amaçlı yazılımı Android/Spy.ToSpy olarak etiketledi. Daha sonra yapılan araştırma, ToTok uygulamasını taklit eden dört aldatıcı dağıtım web sitesini ortaya çıkardı. Uygulamanın bölgesel popülaritesi ve tehdit aktörleri tarafından kullanılan taklit taktikleri göz önüne alındığında bu casus yazılım kampanyasının birincil hedeflerinin BAE veya çevresindeki bölgelerdeki kullanıcılar olduğu tahmin edilebilir. Casus yazılım arka planda şu verileri toplayabilir ve dışarı aktarabilir: Kullanıcı kişileri, sohbet yedeklemeleri, görüntüler, belgeler, ses ve video gibi cihaz bilgi dosyaları. ESET'in bulguları, ToSpy kampanyasının muhtemelen 2022 ortasında başladığını göstermektedir.
Lukáš Štefanko, "Kullanıcılar, resmî olmayan kaynaklardan uygulama indirirken ve bilinmeyen kaynaklardan yüklemeyi etkinleştirirken ayrıca resmî uygulama mağazaları dışındaki uygulamaları veya eklentileri, özellikle güvenilir hizmetleri geliştirdiğini iddia edenleri yüklerken dikkatli olmalıdır" tavsiyesinde bulundu.
Kaynak: (KAHA) Kapsül Haber Ajansı
ESET'in ortaya çıkardığı Android casus yazılım kampanyaları, sahte Signal ve ToTok uygulamaları aracılığıyla kullanıcı verilerini hedef alıyor. ProSpy ve ToSpy olarak adlandırılan bu casus yazılımlar, cihazlara yüklendikten sonra rehber, SMS mesajları, sohbet yedeklemeleri ve diğer hassas dosyaları sızdırabiliyor. Araştırmalar, bu kampanyaların 2022'den beri aktif olduğunu ve özellikle Birleşik Arap Emirlikleri'ndeki kullanıcıları hedeflediğini gösteriyor. Uzmanlar, kullanıcıları resmi olmayan kaynaklardan uygulama indirmekten kaçınmaya ve bilinmeyen kaynaklardan yüklemeleri etkinleştirmemeye çağırıyor.
