Kaspersky Tehdit Araştırmaları Uzmanlık Merkezi, Mart 2024’ten beri AppStore ve Google Play’de aktif olduğu tespit edilen SparkCat adlı veri çalmaya odaklanan yeni bir truva atı virüsünü keşfetti. Bu kötü amaçlı yazılım, AppStore’da görülen optik tanıma tabanlı (OCR) ilk örnek olarak dikkat çekiyor.
SparkCat nasıl çalışıyor?
SparkCat, yüklendikten sonra kullanıcının akıllı telefon galerisindeki fotoğraflara erişim talep ediyor. Daha sonra entegre ettiği OCR modülü aracılığıyla depolanan görüntülerdeki metni analiz ediyor.
Yazılım, resim galerilerinde bulunan ve kripto para cüzdanı kurtarma ifadeleri içeren ekran görüntülerini tespit ediyor; ayrıca, parolalar ve diğer hassas verileri de çıkarabiliyor. Bu bilgilerle saldırganlar, kullanıcının kripto para cüzdanı üzerinde tam kontrol sağlayabiliyor.
Yayılma yöntemleri ve hedef kitlesi
Kötü amaçlı yazılım, hem resmi uygulama mağazalarında yer alan virüslü sürümler hem de mesajlaşma uygulamaları, yapay zekâ asistanları, yemek teslimat hizmetleri, kripto uygulamaları ve diğer yemler aracılığıyla yayılıyor.
Kaspersky verilerine göre Google Play’de bu tür uygulamalar, 242 binden fazla indirildi.
SparkCat özellikle Birleşik Arap Emirlikleri (BAE), Avrupa ve Asya ülkelerindeki kullanıcıları hedef alırken; Çince, Japonca, Korece, İngilizce, Çekçe, Fransızca, İtalyanca, Lehçe ve Portekizce dillerinde arama yapabilme özelliğine sahip. iOS platformundaki yemek dağıtım uygulaması ComeCome da enfekte olan uygulamalar arasında yer alıyor.
Teknik inceleme ve uzman görüşleri
Kaspersky, SparkCat’in teknik analizinde, Android sürümlerinde kodda Çince yazılmış yorumlara rastlarken, iOS sürümünde geliştirici ana dizin isimleri arasında “qiongwu” ve “quiwengjing” gibi ifadelerin bulunmasını kaydetti. Bu durum, tehdidin arkasındaki aktörlerin Çince konuşabildiğini işaret etse de, henüz belirli bir siber suç grubuna atıfta bulunulamadı.
Kaspersky zararlı yazılım analisti Sergey Puzan, “Bu, AppStore’a sızan OCR tabanlı Truva atının bilinen ilk vakası. Uygulamaların tedarik zinciri saldırısı yoluyla mı yoksa başka yöntemlerle mi ele geçirildiği halen belirsi,” dedi.
Zararlı yazılım analisti Dmitry Kalinin ise “SparkCat kampanyası, resmi uygulama mağazaları aracılığıyla yayıldığı ve bulaşma belirtilerinin belirgin olmadığı için mağaza denetleyicileri ve kullanıcılar açısından tespit edilmesi zor. Uygulamanın talep ettiği izinler makul göründüğünden, kullanıcılar tarafından fark edilmesi güç oluyor” ifadelerini kullandı.
Makine öğrenimi destekli saldırılar
SparkCat, makine öğrenimi tekniklerini kullanarak, özellikle Google ML Kit kütüphanesi yardımıyla Android modülü içinde depolanan görüntülerdeki metni analiz ediyor. Benzer yöntem, iOS sürümünde de gözlemleniyor. Kaspersky çözümleri, hem Android hem de iOS kullanıcılarını bu yeni tehditten koruma altına alıyor.
Medyascope'un günlük e-bülteni
Andaç'a abone olun
Editörlerimizin derlediği öngörüler, analizler, Türkiye’yi ve dünyayı şekillendiren haberler, Medyascope’un e-bülteni Andaç‘la her gün mail kutunuzda.
Tespit edilen tehdit, HEUR:Trojan.IphoneOS.SparkCat.* ve HEUR:Trojan.AndroidOS.SparkCat.* etiketleriyle sınıflandırıldı.
Örnek alınması gereken bir uygulama
Kaspersky’nin bu keşfi, güvenlik alanında üst segment markaların kullanıcı deneyimine ve veri güvenliğine ne kadar önem verdiğini bir kez daha ortaya koydu.
SparkCat vakası, uygulama mağazalarında yayılan kötü amaçlı yazılımların tespit ve önlenmesi konusunda sektörün alması gereken önlemlere dair önemli ipuçları veriyor. Bu tür durumların, diğer markalar ve platformlar için de örnek teşkil etmesi bekleniyor.
