Siber casusluk yazılımının hedefinde Ortadoğu var

Sektörde rutin olarak gerçekleştirilen tehdit verisi paylaşımlarından birinde Kaspersky Lab araştırmacıları bilinmeyen bir Android zararlı yazılımı keşfetti. İlk bakışta ciddi bir tehdit gibi görünmeyen zararlı yazılım, teknik açıdan son derece basit bir siber casusluk aracı olarak tanımlandı. Ancak dosyanın adı araştırmacıların dikkatini çekti: Referendum Kurdistan.apk. Araştırmacılar daha detaylı bir inceleme yapmaya karar verdi ve bir noktada aynı uygulamanın çok daha güncel ve gelişmiş bir sürümünü buldu.

Zararlı uygulamaların bazıları Ortadoğu’nun belirli bölgelerinde popüler olan haber ve siyaset içerikli sitelerden dağıtılıyor. Bu uygulamalar, Ortadoğu ülkelerinde tanınan ‘TelegramGroups’ ve ‘Alnaharegypt’ gibi yasal uygulamaların adlarını kullanıp kendisini gizliyor. Zararlı yazılım başarılı bir şekilde hedef cihaza bulaştıktan sonra saldırganlar şunları yapabiliyor:

Bilgi sızdırma:

• Kişiler
• Hesap verileri
• Çağrı listeleri ve görüşmelerin sesli kayıtları
• Cihazın SD kartında saklanan resimler
• GPS konum bilgisi
• SMS mesajları
• Yüklenen uygulamaların detayları, tarayıcı verileri
• Basılan tuşların kaydı ve pano verileri

Arka kapı işlevleri:

• Gizlice SMS göndermek
• Gizlice arama yapmak
• Shell komutları çalıştırmak

Ek bir zararlı işlev sayesinde ise Telegram, WhatsApp IMO gibi anlık mesajlaşma uygulamaları, web tarayıcı (Chrome) ve bazı diğer uygulamalar da hedef alınabiliyor. Saldırıya uğrayan uygulamaların dahili veri tabanları zararlı yazılım tarafından çalınabiliyor. Örneğin tarayıcı söz konusu olduğunda, diğer websitelerine giriş için kullanılan kayıtlı kimlik bilgileri saldırı sonunda ele geçirilebiliyor.

Yapılan incelemelerin sonunda, saldırıların arkasındaki kişilerin; Mısır, Ürdün, Fas, Lübnan ve İran’daki kullanıcıların peşinde olduğu anlaşıldı. Saldırganların kurbanları tuzağa düşürüp zararlı yazılımı kurmalarını sağlamak için kullandığı haber başlıklarına bakıldığında ise ZooPark’ın olası hedefleri arasında Kürt destekçiler ve Umman’daki Birleşmiş Milletler Yardım ve Bayındırlık Ajansı üyelerinin olduğu düşünülüyor.

Araştırmacılar, 2015’ten beri aktif olan ZooPark ailesiyle ilgili en az dört nesil casusluk yazılımı tespit etmeyi başardı. Zararlı yazılımının arkasında kimlerin olduğu kesin olarak bilinmiyor. Ancak genel bilgilere göre, uygulama ile ilgili komut ve kontrol altyapısının bazı bölümleri, konumlarını İran olarak belirten kullanıcılara kayıtlı.