Siber güvenlik şirketi Bitdefender, aralarında Doogee ve Cubot modellerinin de bulunduğu bazı Android telefonların tedarik zincirinde donanım yazılımı düzeyinde zararlı kodlarla piyasaya sürüldüğünü belirledi.
Üç noktada haber
Doogee S200 X, Doogee Fire 3 Max ve Cubot KINGKONG X modelleri ile bazı taklit cihazlarda fabrika çıkışlı zararlı yazılım tespit edildi.
Sistem yazılımına yerleştirilen kodların ikinci aşamada indirdiği 32 farklı uygulama, görünmez pencereler üzerinden sahte reklam trafiği üretiyor.
Zararlı yazılımdan etkilenen cihazlar 150'den fazla ülkeye yayıldı ve ele geçirilen telefonlar saldırganlarca vekil sunucu olarak kullanılabiliyor.
Siber güvenlik şirketi Bitdefender tarafından yayımlanan araştırma, bazı Android akıllı telefonların henüz kutusundan çıkarılmadan, üretim ve tedarik zinciri aşamasında donanım yazılımı seviyesinde zararlı kodlarla donatıldığını ortaya koydu. İncelemelere göre siber saldırganlar, özellikle dayanıklı ve uygun fiyatlı modelleriyle bilinen Çin merkezli üreticilerin tedarik hatlarına sızarak cihaz yazılımlarına doğrudan müdahale etti. Etkilenen modeller arasında Doogee S200 X, Doogee Fire 3 Max ve Cubot KINGKONG X gibi cihazlar yer alırken, tanınmış markaları taklit eden sahte telefonlarda da aynı yazılımlara rastlandı.
Araştırmacılar, söz konusu zararlı kodların ağırlıklı olarak MediaTek işlemcili modellerde sistem üzerinde en üst düzey yetkileri ele geçirebildiğini tespit etti. Bu yetkiler sayesinde saldırganlar, kullanıcıdan herhangi bir onay veya izin almadan uzaktan kod çalıştırabiliyor ve sistemdeki uygulamalara müdahale edebiliyor. Tehdidin küresel boyutu ise 150'den fazla ülkede binlerce kullanıcının bu cihazları satın aldığını gösteriyor; etkilenen ülkeler arasında ABD, Almanya, Fransa, İspanya, İtalya, Brezilya ve Meksika da bulunuyor.
Saldırının işleyişi sıradan zararlı uygulamalardan önemli bir noktada ayrılıyor. Sistem çekirdeğine gömülen kodlar kötü amaçlı eylemleri doğrudan yürütmek yerine, ikinci bir aşamada hava durumu, dosya yöneticisi, uygulama kilitleyici ve ses düzenleyici görünümüne bürünmüş 32 farklı zararlı uygulamayı cihaza indiriyor. Bu uygulamalar, ekran üzerinde kullanıcının göremediği pencereler açarak arka planda sahte reklam görüntülemeleri yapıyor ve bu sayede haksız kazanç sağlıyor.
Bitdefender raporu, tehlikenin yalnızca reklam sahtekarlığıyla sınırlı olmadığını, ele geçirilen telefonların saldırganların komut ve kontrol sunucularına bağlandığını vurguluyor. Bu bağlantı üzerinden cihazlar vekil sunucuya (proxy) dönüştürülüyor; böylece siber saldırganlar kendi internet bağlantılarını gizleyerek dolandırıcılık, siber saldırı veya toplu spam e-posta trafiğini mağdurların interneti üzerinden yönlendiriyor. Zararlı kod sistem yazılımının parçası haline geldiğinden, kullanıcıların şüpheli uygulamaları silmesi veya temel sıfırlama işlemleri tehdidi temizlemek için yeterli olmuyor.
Neden önemli?Zararlı kodlar cihazları vekil sunucuya dönüştürüp gizli reklam görüntülemeleri yaparken, sistem seviyesinde yer aldıkları için kullanıcıların sıradan uygulama kaldırma yöntemleriyle temizlenemiyor.
Cevabı beklenen sorular
- Etkilenen cihaz üreticilerinin sistem yazılımlarını temizlemek için resmi bir bellenim güncellemesi yayımlayıp yayımlamayacağı henüz açıklanmadı.
- Resmi uygulama mağazasında tespit edilen benzer kod altyapısına sahip uygulamaların mağazadan kaldırılıp kaldırılmadığı belirtilmedi.
Kaynaklar ve belgeler
Bu haberde kullanılan belgelere aşağıdaki bağlantılardan ulaşabilirsiniz.
