Microsoft, Toll dolandırıcılık kötü amaçlı yazılımının Android'deki en yaygın tehditlerden biri olduğunu ve otomatik olarak premium hizmetlere otomatik abonelik sağlayan özelliklerle geliştiğini uyarıyor.
Ücretli sahtekarlık, tehdit oyuncusu kurbanları premium bir numaraya çağırmaya veya göndermeye kurduğu faturalandırma sahtekarlığının bir alt kümesidir.
Fark, ücretli sahtekarlığın WiFi üzerinde çalışmaması ve cihazları mobil operatörün ağına bağlanmaya zorlamasıdır.
Bugünkü bir raporda Microsoft, Toll Foild kötü amaçlı yazılımların nasıl çalıştığı ve Android'de nasıl önlenebileceğine dair teknik ayrıntıları paylaşıyor.
Ücretli sahtekarlık, tüketicilerin ücretli içeriğe abone olmalarını ve telefon faturasına ücret eklemelerini sağlayan Kablosuz Uygulama Protokolü (WAP) üzerinde çalışır.
Bu, mobil ağ ve müşterinin bir abonelik düğmesine tıklaması için bir bağlantı gerektirir. Bazı hizmetler, müşterilerin seçimlerini onaylaması için bir kerelik şifre (OTP) gönderir.
Ücretli sahtekarlık sağlayan kötü amaçlı yazılım, hileli aboneliği başlatarak, OTP'leri engelleyerek ve kurbanı uyarabilecek bildirimleri bastırarak tüm bunları otomatik olarak yapar.
Microsoft, bu süreçte genellikle kullanıcıların tamamen farkında olmamalarında gerçekleşen birkaç adım belirledi:
Kötü amaçlı yazılım, Android'in kullanıcıdan izin gerektirmeyen abonenin ülkesi ve mobil ağında veri toplayarak başlar.
Önemli bir adım, WiFi bağlantısını devre dışı bırakmak ve cihazı operatörün ağını kullanmaya zorlamaktır. Android 9'da (API Seviye 28) veya daha düşükte, bu normal koruma izin seviyesi ile mümkündür.
Daha yüksek bir API seviyesi için, normal bir koruma seviyesi ile birlikte gelen change_network_state izninin altına giren 'RequestNetwork' işlevi vardır.
Microsoft bunu Joker kötü amaçlı yazılımdan örnek kodda gösterdi ve bu da Google’ın Play Store'a yarım on yıldan fazla bir süredir yol açtı.
Ücretli sahtekarlık kötü amaçlı yazılımı daha sonra ağ durumunu izlemek ve işlemi belirli bir ağa bağlamak için ‘Network TyTepe’ değişkenini almak için ‘NetworkCallbak’ı kullanır, böylece cihazı mevcut bir WiFi bağlantısını yok saymaya ve mobil operatörleri kullanmaya zorlar.
Kullanıcının bundan kaçınmasının tek yolu mobil verileri manuel olarak devre dışı bırakmaktır.
Mağdurun mobil taşıyıcısı hedef listede ise, kötü amaçlı yazılım, premium hizmetler sunan ve otomatik olarak abone olmaya çalışan web sitelerinin bir listesini almaya devam eder.
Birden fazla abonelik senaryosu olsa da, kullanıcılar normalde bir HTML öğesini tıklar ve ardından sunucuya bir doğrulama kodu gönderir.
“Kötü amaçlı yazılımın bunu otomatik olarak yapması için sayfa yükleme ilerlemesini gözlemler ve aboneliği başlatan HTML öğelerini tıklamak için tasarlanmış JavaScript kodunu enjekte eder. Kullanıcı yalnızca bir kez abone olabileceğinden, kod ayrıca yinelenen aboneliklerden kaçınmak için bir çerez kullanarak HTML sayfasını işaretler ” - Microsoft
Microsoft, bazen ek doğrulamanın gerekli olabileceğini belirtiyor. Ücretli sahtekarlık kötü amaçlı yazılım örnekleri analiz edilen şirketin bunu başarmak için de yöntemleri vardır.
Bazı operatörler aboneliği ancak kullanıcının SMS, HTTP veya USSD (yapılandırılmamış ek hizmet verileri) üzerinden teslim edilen bir OTP kodu aracılığıyla yetkilendirdiğini kontrol ettikten sonra bitirir ve ilk ikisi daha popülerdir.
Android kötü amaçlı yazılım SMS verilerini çalmak özel bir şey değildir ve HTML protokolü üzerinden alınan mesajları toplamak, bir doğrulama jetonunu gösteren dizeler için kodun ayrıştırılması gerekir.
Tehdit oyuncusu Yetkilendirme Kodunu aldıktan sonra, seçilen premium hizmete aboneliği tamamlamakta özgürdürler.
Ancak bu yeterli değildir, çünkü mağdurlar abonelik hakkında bildirimler alabilirler, bu nedenle bunların bastırılması gerekir.
“API Seviye 18'den beri, bildirim listesi hizmetini genişleten bir uygulama, diğer uygulamalardan tetiklenen bildirimleri bastırmaya yetkilidir” - Microsoft
Kötü amaçlı yazılım geliştiricileri, SMS bildirimlerini diğer uygulamalardan susturmak için kötüye kullanabilecekleri üç API çağrısından oluşan bir alt kümeye sahiptir:
Ücretli sahtekarlık kötü amaçlı yazılım geliştiricileri, kötü niyetli davranışı mümkün olduğunca sağduyulu tutmak için mekanizmalar uygular. Bunun bir yolu, enfekte cihazın mobil ağı listede değilse, kötü amaçlı yazılımları inert tutmaktır.
Başka bir yöntem, belirli kodların yalnızca belirli koşullar karşılanması durumunda yüklenmesini sağlayan dinamik kod yüklemesini kullanmaktır. Bu, özellikle statik analizde kötü amaçlı yazılımları tespit etmeyi zorlaştırır.
Ücretli sahtekarlık kötü amaçlı yazılımları, cihazınızdan uzak tutmak, Android kaynağınızı indirme kaynağının Google’ın Play Store/ gibi güvenilir olduğunu kontrol etmeye gelir/
Ayrıca, kurulum sırasında talep edilen izinlere bakmak, cihazınızda yaygın çalışma riskini azaltmanın yanı sıra gizliliğinizi korumanın iyi bir yoludur.
Microsoft ayrıca kullanıcıların, normal işlevler için bu izinlere gerek olmadığı sürece uygulamaların SMS okumasına veya göndermesine, bildirimlere erişmesine veya erişilebilirliğe izin vermekten kaçınmasını önerir.
İlk 10 Android Bankacılık Trojans 1 milyar indirme ile hedef uygulamalar
Kötü amaçlı yazılım dağıtım seviyesi düştükçe mobil Truva Tespiti Artar
Microsoft Defender, Android, iOS cihazları için ağ koruması ekliyor
Spyware satıcısı, iOS ve Android kullanıcılarını enfekte etmek için ISS ile çalışır
Amazon, Android Fotoğraflar Uygulamasında Yüksek Ters Güvenlik Açığını Düzeltiyor
Kaynak: Bleeping Computer