Çin irtibatlı GREF kümesinin casus uygulamaları Signal ve Telegram üzere görünüyor; Avrupa ve ABD’deki kullanıcılara saldırıyor
Çin kontaklı GREF kümesinin casus uygulamaları Signal ve Telegram üzere görünüyor; Avrupa ve ABD’deki kullanıcılara saldırıyor
Siber güvenlik şirketi ESET, daha evvel Uygur kökenli Android kullanıcılarını da amaç alan ve GREF ismiyle bilinen Çin ilişkili APT kümesinin faal kampanyalarını ortaya çıkardı. Saldırganlar kullanıcıları düzmece Signal ve Telegram uygulamalarıyla kandırıp makus maksatlı uygulamaları indirmeye teşvik ediyor. Binlerce kullanıcının bu tuzağa düşerek casus uygulamaları aygıtlarına indirdiği belirtiliyor.
ESET araştırmacıları, uydurma Telegram ve Signal araçlarının ardındaki tehdit aktörlerinin Çin kontaklı APT kümesi GREF ile ilişkilendirildiği, Android kullanıcılarını amaç alan iki faal kampanya tespit etti. Her bir makûs gayeli uygulama için sırasıyla Temmuz 2020 ve Temmuz 2022’den bu yana etkin olan kampanyalar, Android BadBazaar casusluk kodunu Google Play mağazası, Samsung Galaxy Store ve yasal şifreli sohbet uygulamaları üzere görünen özel web siteleri aracılığıyla dağıttı. Bu kötü maksatlı uygulamaların FlyGram ve Signal Plus Messenger olduğu ortaya kondu. Tehdit aktörleri, Android için açık kaynaklı Signal ve Telegram uygulamalarını berbat maksatlı kodla yamalayarak düzmece Signal ve Telegram uygulamalarındaki fonksiyonları elde etti. Signal Plus Messenger, bir kurbanın Signal bağlantısının gözetlendiği belgelenmiş birinci hadise ve binlerce kullanıcının farkında olmadan casus uygulamaları indirdiği ortaya çıktı. ESET telemetrisi, çeşitli AB ülkeleri, Amerika Birleşik Devletleri, Ukrayna ve dünya çapındaki başka yerlerdeki Android aygıtlarda tespitler bildirdi. Her iki uygulama da daha sonra Google Play’den kaldırıldı.
Keşfi yapan ESET araştırmacısı Lukáš Štefanko şu açıklamayı yaptı:”BadBazaar ailesinden gelen makûs gayeli kodun, kurbanlara çalışan bir uygulama tecrübesi sağladığı görülüyor. Bu ziyanlı kod, aslında art planda casusluk yapan truva atı haline getirilmiş Signal ve Telegram uygulamalarına gizleniyor. BadBazaar’ın ana maksadı aygıt bilgilerini, kişi listesini, arama kayıtlarını ve yüklü uygulamaların listesini dışarı sızdırmak ve kurbanın Signal Plus Messenger uygulamasını gizlice saldırganın aygıtına bağlayarak Signal iletileri üzerinde casusluk yapmak.”
ESET telemetrisi Avustralya, Brezilya, Danimarka, Demokratik Kongo Cumhuriyeti, Almanya, Hong Kong, Macaristan, Litvanya, Hollanda, Polonya, Portekiz, Singapur, İspanya, Ukrayna, Amerika Birleşik Devletleri ve Yemen’den gelen tespitleri rapor ediyor. Ayrıyeten Google Play mağazasındaki FlyGram’a ilişkin bir irtibat da bir Uygur Telegram kümesinde paylaşıldı. BadBazaar berbat hedefli yazılım ailesinin uygulamaları daha evvel de Uygurlara ve Çin dışındaki öteki Türk etnik azınlıklara karşı kullanılmıştı.
Bir Google App Defense Alliance ortağı olan ESET, Signal Plus Messenger’ın en son sürümünü berbat maksatlı olarak tanımladı ve bulgularını acilen Google ile paylaştı. ESET’in yaptığı ikazların akabinde uygulama Mağaza’dan kaldırıldı.
Kaynak: (BYZHA) Beyaz Haber Ajansı
