Google Play’da Mandrake adlı bir virüs tespit edildi!

Mandrake isimli kötü amaçlı yazılım, Google Play’de yeniden ortaya çıktı. İlk olarak 2020’de Bitdefender tarafından tespit edilen bu zararlı yazılım, yıllar boyunca çeşitli uygulamalar aracılığıyla kullanıcıları gözetlemiş ve hassas bilgilerini çalmıştı.

Mandrake, Google Play‘de nasıl gizlendi?

Mandrake ilk olarak 2016-2017 ve 2018-2020 yılları arasında iki dalga halinde ortaya çıkan Mandrake, 90 ülkede aktif olmamak, hedeflenen kurbanlara özel yükler göndermek ve kendini tamamen silen bir “seppuku” anahtarı gibi yöntemlerle tespit edilmekten kaçındı. Ayrıca, tamamen işlevsel sahte uygulamalar ve hataları hızla düzelten bir sistemle kullanıcıları yanıltmayı başardı.

Kaspersky tarafından tespit edilip Google Play’den kaldırılan o uygulamalar:

Bu zararlı yazılımın kurbanları on binlerce, hatta dört yıllık sürede yüz binlerce kişiyi buldu. 2022 yılında Kaspersky, Mandrake’in yeniden Google Play’de gizlendiğini ve daha da gelişmiş yöntemlerle kullanıcıları hedef aldığını rapor etti. Mandrake’in yeni nesli, kötü amaçlı davranışlarını gizlemek için bir dizi gelişmiş teknik kullanıyor.

Araştırmacıların kötü amaçlı yazılımı tespit etmesini zorlaştıran bu yöntemler arasında çok katmanlı obfuscation (karartma) ve yerel kütüphanelere taşınan zararlı fonksiyonlar yer alıyor. Mandrake, zararlı kodlarını native library (yerel kütüphane) olarak bilinen libopencv_dnn.so dosyasına taşıyarak, analiz edilmesini ve tespit edilmesini zorlaştırıyor. Yeni nesil Mandrake, kullanıcıların kimlik bilgilerini çalmak ve sonraki aşamalarda zararlı uygulamaları indirmek için ekran kaydı gibi yöntemler kullanıyor.

Ekran kayıtları, kontrol sunucusundan gelen komutlarla başlatılıyor ve kullanıcıların girilen bilgileri gizlice kaydediliyor.