Zimperium, ArcticRAT'ı detaylandırdı: Ekranı karartıp bankacılık uygulamalarını yağmalayan Android kötücül yazılımı

Zimperium, ArcticRAT'ı ortaya çıkardı

Zimperium'ın zLabs ekibindeki güvenlik araştırmacıları, ArcticRAT adını verdikleri yeni bir Android tehdidini belgeledi: Kurbanın ekranını kapalı görünümüne sokarken bir operatörün karanlık camın ardında sessizce bankacılık uygulamaları açmasını, sistem istemlerini onaylamasını ve mesajları okumasını sağlayan bir uzaktan erişim truvası. İsim, ilk örneklerin paket adları olan net.iceflow.arcticlink ve net.frostlink.iceforge'dan geliyor; aile aktif geliştirme aşamasında ve incelenen sürümler 6.3'ten 6.5.2'ye kadar uzanıyor, laboratuvarda daha yeni yapılar da görülmüş durumda. Bulgular dev.io üzerindeki bir yazıda özetlendi.

Zimperium'ın takibi 78 benzersiz örnek, 42 birinci aşama yükleyici ve 36 nihai payload topladı; bunları 21 komut ve kontrol adresi destekliyor. Bunlar laboratuvar rakamları; şirket etkilenen kişi sayısını yayınlamadı.

Kripto casus yazılımından tam teşekküllü truva atına

Zimperium'a göre aile, 11 kripto para uygulamasının kullanıcılarını hedefleyen dar kapsamlı bir casus yazılım olarak başladı. Bugün ise gözetim, kimlik bilgisi hırsızlığı ve cihaz üzerinde elle yönetim kapsayan 129 ayrı komut içeren bir kontrol koduna sahip eksiksiz bir uzaktan erişim truva atına dönüştü. Analiz edilen komut ve kontrol adreslerinin yaklaşık üçte ikisi Hong Kong'a, kabaca beşte biri Almanya'ya işaret ediyor.

Sahte mağaza ve iki izin

Dağıtım resmi mağazanın dışında başlıyor. Zimperium, kötücül reklamcılık, aldatıcı kısa mesajlar ve üçüncü taraf forumlar üzerinden yayılan, bazı indirmelerin Amazon Web Services S3 bucket'larında barındırıldığı özenle hazırlanmış Google Play taklitlerini belgeledi. Kılık yeme, yeme göre değişiyor: Amazon, TikTok, bir dosya yöneticisi ya da tanınmış bir kripto para uygulaması.

Cihaza ilk inen program VPN izni istiyor. Bu izinle kötücül yazılım trafiği hiçbir yere yönlendirmeyen bir tünel kuruyor ve kurulum sırasında cihazın bağlantısını kesiyor; böylece Google Play Protect'in telemetrisi raporlamayı bırakırken, bir web view içinde çizilen sahte yükleyici gerçek payload'ın şifresini çözüyor, onu Android'in session installer'ı aracılığıyla kuruyor ve ardından VPN'i bırakıyor.

Kurulan payload sıradaki adımda Erişilebilirlik (Accessibility) erişimi istiyor; bu da ekran içeriğini okumasına, dokunuş ve hareketleri otomatikleştirmesine, tuş vuruşlarını kaydetmesine ve uzaktan yönetime hazırlanmasına olanak tanıyor.

Dışarıda kara ekran, içeride bankacılık uygulaması

Uzaktan oturum, 8888 numaralı portta HVNC olarak tanımlanan gizli ekran kanalı üzerinden yürütülüyor. Android'in MediaProjection ve VirtualDisplay API'lerini kullanan kötücül yazılım bellekte sanal bir ekran oluşturup JPEG karelerini saldırganın sunucusuna akıtıyor; ana kanal 9999, mikrofon portu 5000 ve ekran akış portu 5055 numaralı portu kullanıyor. Operatör çalışırken kurban hiçbir şey görmüyor: ArcticRAT, kapatılamayan bir overlay çiziyor ve bankacılık uygulamaları açıldığında ya da sistem izinleri otomatik onaylandığında parlaklığı sıfıra indiriyor; böylece telefon kilitli ya da ölü görünüyor.

Grok çalınan veriyi sınıflandırıyor

Zimperium'ın öne çıkardığı ayrıntı, kötücül yazılımın çaldığı veriyle ne yaptığı. Kodda xAI_API olarak adlandırılan bir sunucu komutu, telefona bir API anahtarı sağlıyor ve Grok'u ganimeti düzenleme işine koyuyor; grok-4.20-0309-non-reasoning varyant dizesi gözlendi. Bir yönerge kurulu uygulamaları inceleyip bankacılık, kripto para ve borsa hizmetlerini işaretliyor. Bir başkası kısa mesajları işliyor, reklamları atıyor ve tek kullanımlık kodları, bakiye değişimlerini ile transfer uyarılarını ayıklıyor. Çıktı, her kurban için öngörülen bir finansal tablo ve /config/AI_DATA/ altında JSON dosyaları olarak saklanıyor. Zimperium bu entegrasyonu ilk kez Temmuz 2026 ortasındaki örneklerde gözlemledi.

Sahte kilit ekranları ve taklit şifreleme

Kimlik bilgisi hırsızlığı da benzer bir sahneleme alıyor. Cihazın diline uyarlanmış sahte bir kilit ekranı, sahibinin girdiği deseni, PIN'i ya da parolayı yakalıyor; sunucu bu anahtarı doğrulayabiliyor ve Android 11 ile gelen kablosuz hata ayıklama özelliğini istismar ederek PIN'i değiştirip sahibini telefondan kilitleyebiliyor. Bir sahte fidye yazılımı modülü de seti tamamlıyor: asla gerçekleşmeyen bir dosya şifrelemeyi taklit eden sonu gelmeyen bir ilerleme çubuğu gösteriyor.

Neden önemli

Pratik uyarı dar ve kullanılabilir: Resmi mağaza dışından kurulan ve sırasıyla önce VPN sonra Erişilebilirlik erişimi isteyen bir uygulama, tam olarak bu operasyonun işlemek için kullandığı iki anahtarı talep ediyor demektir. Uzaktan kontrol göz alıcı kısım; ama kalıcı hasar, mesajların ve bakiyelerin otomatik ön elemesinden gelebilir; bu da fırsatçı hırsızlığı, alınabilecek para miktarına göre sıralanmış düzenli bir kurban listesine dönüştürüyor. Geliştirme 6.5.2 sürümünün ötesinde sürüyor ve şimdilik kamuya açık kayıt 78 örnek ile 129 komutta duruyor.