Güvenlik araştırmacıları, akıllı telefonu ele geçirmek için nadir bir kötü amaçlı yazılım yükleyen 19 uygulamanın Google Play Store'dan kaldırılmasına yardımcı oldu.

Lookout siber güvenlik araştırmacıları tarafından keşfedilen AbstractEmu adlı kötü amaçlı yazılım, bildirimleri izlemek, ekran görüntülerini yakalamak, ekranı kaydetmek ve hatta cihazın şifresini sıfırlamak veya tamamen kilitlemek gibi çeşitli faaliyetleri yürütmek için etkilenen Android cihazının "root" [kök] özelliklerini kullanabiliyor.

Araştırmacılar, "Android işletim sistemine ayrıcalıklı erişim elde etmek için root sürecini kullanarak, tehdit aracı kendisine sessizce tehlikeli izinler verebilir veya normalde kullanıcı etkileşimi gerektiren ek kötü amaçlı yazılımlar yükleyebilir" diyor.

Kötü amaçlı yazılımı içeren uygulamalar; şifre yöneticileri, veri koruyucular, uygulama başlatıcılar ve benzeri gibi yardımcı uygulamalar olarak gizlendi ve tamamen işlevseldi. Kaldırılan 19 uygulamadan araştırmacılar, yedisinin köklenme yeteneği sergilediğini ve birinin 10.000'den fazla indirme işlemi gerçekleştirdiğini iddia ediyor.

Araştırmacılar, kök erişimi sağlayan kötü amaçlı yazılımların son beş yılda neredeyse tamamen ortadan kalktığını söylüyor olsa da, AbstractEmu henüz yok olmadıklarının kanıtı olarak karşımıza çıkıyor. Ayrıca araştırmacılar, kötü amaçlı yazılımın kod soyutlama ve emülasyon önleme denetimlerini kullanarak tespit edilmekten kaçınmak için attığı adımların da etkileyici olduğunu belirtiyor.

AbstractEmu, bir cihaza girdikten sonra cihazı rootlamak ve ele geçirmek için eski Android güvenlik açıklarına yönelik beş istismardan birinden yardım alıyor. Kontrolü ele geçirdikten sonra cihazla ilgili her türlü veriyi topluyor ve uzak bir sunucuya göndererek ve ek veri toplamak için beklemeye geçiyor.

Açıklamalarının sonucunda araştırmacılar, "Keşif sırasında, AbstractEmu'nun arkasındaki tehdit aktörü, saldırganların nihai amacını öğrenmemizi engelleyen C2'den [komut ve kontrol sunucusu] bu ek veriyi almak için gerekli uç noktaları zaten devre dışı bırakmıştı" diyor...