Telefonuna birkaç gün önce Chrome’u ya da TikTok’u “güncellemek” için bir bağlantıdan indirdiysen, bu makaleyi okumadan önce telefonunu kontrol etmen gerekebilir. Siber güvenlik şirketi Zimperium, Android cihazları hedef alan ve dünya genelinde 217 banka ile kripto para uygulamasını taklit edebilen “Rokarolla” adlı yeni bir bankacılık zararlısı tespit etti.
Bu zararlı yazılım telefonuna nasıl bulaşıyor?
Rokarolla, resmi Google Play mağazası üzerinden değil, üçüncü taraf web siteleri ve sahte indirme sayfaları üzerinden yayılıyor. Saldırganlar, kullanıcıları Chrome ya da TikTok’un “güncel sürümü” gibi görünen sahte bir indirme sayfasına yönlendiriyor. Uygulama telefona kurulurken kendini Google Play Protect gibi göstererek, Android’in kendi güvenlik sisteminden bir uyarıymış izlenimi veriyor; bu da kullanıcının şüphelenmeden kuruluma devam etmesini sağlıyor.
Bir kere kurulduğunda ne yapabiliyor?
Zararlı yazılım, kurulduktan sonra Android’in erişilebilirlik hizmetlerine erişim istiyor. Bu hizmetler normalde görme ya da hareket kabiliyeti kısıtlı kullanıcıların telefonu daha kolay kullanabilmesi için tasarlandı, ama kötüye kullanıldığında bir uygulamanın ekrandaki her şeyi okumasına, düğmelere kendiliğinden basmasına ve kullanıcı adına işlem yapmasına izin veriyor.
Bu izne sahip olduktan sonra Rokarolla, telefondaki uygulamaları tarayıp 217 banka ve kripto uygulamasından oluşan hedef listesiyle karşılaştırıyor. Sen gerçek bankacılık uygulamanı açtığında, zararlı yazılım gerçek giriş ekranının üzerine kendi sahte ekranını yerleştiriyor; sen normal şekilde giriş yaptığını sanırken, aslında kullanıcı adı ve şifreni doğrudan saldırgana gönderiyor. Aynı yöntemi, telefonun kilit ekranını taklit ederek PIN kodun ya da desen kilidin için de kullanabiliyor.
SMS doğrulama kodları da güvenli değil
Birçok kişi, bir hesabına giriş yapılsa bile telefonuna gelen SMS doğrulama kodu olmadan işlemin tamamlanamayacağını düşünerek kendini güvende hissediyor. Ama Rokarolla, SMS mesajlarını okuma ve hatta kendi adına SMS gönderme yeteneğine de sahip; bu, hesabına gelen tek kullanımlık doğrulama kodunu da saldırganın ele geçirebileceği anlamına geliyor. Yazılımın toplam 137 farklı komutu desteklediği ve tuş vuruşu kaydetme, kişi listesi çalma, ekran içeriğini okuma gibi geniş bir yelpazede işlem yapabildiği belirlendi.
Kendini nasıl korursun?
- Uygulamaları yalnızca Google Play gibi resmi mağazalardan indir; bir web sitesinin sana doğrudan APK dosyası indirmeni önermesi, tek başına ciddi bir uyarı işareti.
- Bir uygulama kurulumu sırasında “Google Play Protect” gibi görünen bir ekran karşına çıkarsa ve bu ekran seni ikinci bir uygulama kurmaya yönlendiriyorsa, kurulumu hemen durdur; bu, Rokarolla’nın kullandığı bilinen bir kandırma yöntemi.
- Bir uygulamanın erişilebilirlik hizmetlerine erişim istemesi, o uygulamanın gerçekten bu izne ihtiyacı olduğundan emin olmadığın sürece kabul etmemen gereken bir talep.
- Telefonunda tanımadığın, ne zaman kurduğunu hatırlamadığın bir Chrome ya da TikTok kopyası olup olmadığını kontrol et; şüpheli bir uygulama bulursan, banka hesaplarının şifrelerini başka bir güvenli cihazdan hemen değiştir.
- Bankacılık uygulamalarında, mümkünse SMS yerine bir doğrulama uygulaması (authenticator) kullanmak, bu tür zararlı yazılımların SMS’leri okuma yeteneğine karşı ek bir koruma sağlıyor.
Bu neden özellikle endişe verici?
Rokarolla’yı diğer bankacılık zararlılarından ayıran şey, tek bir uygulamayı değil, aynı anda 217 farklı finans uygulamasını hedefleyebilmesi. Bu da saldırganların, hangi bankayı kullandığını bilmeden bile seni hedef alabileceği anlamına geliyor; zararlı yazılım telefonuna yerleştikten sonra hangi uygulamaların yüklü olduğunu kendisi tespit ediyor.
Bir dahaki sefer telefonuna bir uygulama indirirken, o uygulamanın gerçekten resmi kaynaktan geldiğinden emin olmak için birkaç saniye ayırman, bankan hesabındaki paranın güvenliği için harcayabileceğin en ucuz yatırım.
