RemControl Truva Atı Mobil Dünyada Alarm Veriyor: Yapay Zeka Destekli Yeni Tehdit

Siber güvenlik dünyası, mobil ekosistemi hedef alan yeni ve son derece sofistike bir tehdit dalgasıyla karşı karşıya. Group-IB araştırmacıları tarafından gün yüzüne çıkarılan RemControl adı verilen yeni nesil Android bankacılık zararlısı (MaaS - Malware-as-a-Service platformu), özellikle Avrupa ve Kanada'daki kullanıcıların dijital varlıklarını tehdit ediyor. Mayıs ayından bu yana aktif olduğu bilinen ancak ilk örnekleri temmuz ayında saptanan bu tehlikeli yazılım, geleneksel mobil zararlılardan farklı olarak yapay zeka destekli altyapısı ve gelişmiş kaçış taktikleriyle dikkat çekiyor.

Sahte TVTap Uygulamaları ve Sosyal Mühendislik Taktikleri

Saldırganlar, RemControl'ü yaymak için klasik ancak etkili bir yöntem olan sahte uygulama dağıtımını kullanıyor. Popüler IPTV yayın uygulaması TVTap görünümüne bürünen sahte Google Play sayfaları üzerinden yayılan zararlı yazılım, özellikle İtalya, Fransa, İspanya, Polonya, Portekiz, Kanada ve Orta Doğu ülkelerindeki kullanıcıları hedef alıyor. İtalyan kullanıcıları hedefleyen kampanyalarda coğrafi sınırlama (geofencing) ve mobil User-Agent kontrollerinin kullanılması, saldırganların ne kadar profesyonel ve hedef odaklı hareket ettiğini açıkça gözler önüne seriyor.

Dağıtım aşamasında Meta Pixel izleme kimliklerinin tespit edilmesi, siber suçluların Meta'nın reklam ekosistemini kötüye kullanarak kurbanları sahte indirme sayfalarına çektiğine işaret ediyor. Kullanıcılar resmi bir uygulama indirdiklerini zannederken aslında cihazlarının kontrolünü tamamen ele geçirecek bir dropper (bırakıcı) indirmiş oluyor.

VPN İzinleri ile Google Play Protect Kalkanını Devre Dışı Bırakma

RemControl'ün en kurnaz teknik özelliklerinden biri, kurulum sonrasında başlattığı yerel VPN servisidir. Bu servis, cihazın Google Play servisleriyle olan ağ trafiğini bilinçli olarak bloke eder. Trafik engellendiğinde, Google Play Protect gerçek zamanlı zararlı yazılım taramaları gerçekleştiremez ve bilinen tehdit imzalarına karşı cihazı koruyamaz hale gelir.

Benzer bir mekanizma son dönemde ToxicPanda gibi büyük çaplı operasyonlarda da gözlemlenmişti. Ancak RemControl, bu mekanizmayı çok daha agresif bir veri toplama ve uzaktan yönetim döngüsüyle birleştiriyor. VPN kalkanı sayesinde arka planda sinsi faaliyetlerini sürdüren yazılım, hiçbir güvenlik uyarısına takılmadan sistem derinliklerine yerleşiyor.

Erişilebilirlik Servislerinin Kötüye Kullanımı ve Yapay Zeka Entegrasyonu

Zararlı yazılımın cihazda tam hakimiyet kurabilmesi için kural tanımaz bir izin talebi gerekiyor. Kurulum aşamasında Android Erişilebilirlik Servisleri (Accessibility Service) üzerinden tam yetki talep eden RemControl, bu onay alındıktan sonra şu kritik işlemleri gerçekleştirebiliyor:

• Dinamik Oltalama Ekranları (Phishing Overlays): Meşru bankacılık uygulamalarının üzerinde tam ekran sahte pencereler açarak PIN kodlarını, hesap şifrelerini, kart son kullanma tarihlerini ve hassas kimlik bilgilerini çalıyor.
• Gerçek Zamanlı Cihaz Kontrolü: Operatörlere anlık ekran görüntüsü akışı ve tam Android kullanıcı arayüzü ağacı (UI tree) sağlarken; tıklama, kaydırma, metin enjeksiyonu ve uzun basma gibi tüm dokunmatik hareketleri uzaktan simüle edebiliyor.
• Kilit Desenlerini Çözme: Samsung, Xiaomi, Huawei, OPPO, OnePlus ve saf Android dahil olmak üzere birçok farklı üreticinin cihazlarındaki kilit açma desen koordinatlarını hassasiyetle kaydedebiliyor.
• Kendi Kendini Koruma: Kurbanlar uygulama yönetim ayarlarına, erişilebilirlik menülerine veya fabrika ayarlarına sıfırlama ekranına gitmeye çalıştığında durumu algılayarak otomatik olarak çıkış yapıyor ve kaldırılmasını engelliyor.

Araştırmacılar, oltalama ekranlarından birinde yapay zeka asistanı yanıtının yer aldığını tespit etti. Bu durum, zararlının arkasındaki kod tabanının ve arayüz içeriklerinin yapay zeka modelleri yardımıyla üretildiğine dair güçlü bir kanıt sunuyor. Ayrıca HTML dosyalarında Rusça dil kalıntılarına rastlanması, yazılımı geliştiren geliştiricinin kökenine dair önemli ipuçları veriyor.

Telegram Tabanlı Komuta-Kontrol ve UNKK Tehdit Grubu

Siber güvenlik analistleri, RemControl'ün komuta-kontrol (C2) altyapısını gizlemek için Telegram kanallarını kullandığını keşfetti. Şifrelenmiş C2 bilgilerinin Telegram üzerinden güncellenmesi, altyapı çökertilse bile saldırganların sistemi anında başka bir adrese taşıyabilmesini sağlıyor. İlk C2 proxy sunucusunda açıkta bırakılan FastAPI dokümantasyonu ise zararlının bankacılık hedeflerini hangi uç noktalardan çektiğini ve çalınan verileri nasıl raporladığını net bir şekilde ortaya koydu.

Analiz edilen örneklerdeki ortak tanımlayıcılar üzerinden yürütülen takip çalışmaları, bu operasyonu yürüten aktörün UNKK olarak izlendiğini ve Medusa bankacılık truva atı ile olası bağları bulunduğunu gösteriyor.

Mobil Güvenlik İçin Kritik Tavsiyeler

Global pazarda ve siber güvenlik çevrelerinde kaygı yaratan bu tür tehditlere karşı uzmanlar kullanıcıları uyarıyor. Android kullanıcılarının resmi Google Play Store haricindeki kaynaklardan APK dosyası indirmemesi hayati önem taşıyor. Bununla birlikte, düzenli Play Protect taramalarının açık tutulması ve engelli veya şüpheli uygulamaların Erişilebilirlik Servisi izin taleplerinin kesinlikle reddedilmesi gerekiyor.