Siber güvenlik şirketi ESET, daha önce Uygur kökenli Android kullanıcılarını da hedef alan ve GREF adıyla bilinen Çin bağlantılı APT grubunun aktif kampanyalarını ortaya çıkardı. Saldırganlar kullanıcıları sahte Signal ve Telegram uygulamalarıyla kandırıp kötü amaçlı uygulamaları indirmeye teşvik ediyor. Binlerce kullanıcının bu tuzağa düşerek casus uygulamaları cihazlarına indirdiği belirtiliyor.
ESET araştırmacıları, sahte Telegram ve Signal araçlarının arkasındaki tehdit aktörlerinin Çin bağlantılı APT grubu GREF ile ilişkilendirildiği, Android kullanıcılarını hedef alan iki aktif kampanya tespit etti. Her bir kötü amaçlı uygulama için sırasıyla Temmuz 2020 ve Temmuz 2022'den bu yana aktif olan kampanyalar, Android BadBazaar casusluk kodunu Google Play mağazası, Samsung Galaxy Store ve meşru şifreli sohbet uygulamaları gibi görünen özel web siteleri aracılığıyla dağıttı. Bu kötü amaçlı uygulamaların FlyGram ve Signal Plus Messenger olduğu ortaya kondu. Tehdit aktörleri, Android için açık kaynaklı Signal ve Telegram uygulamalarını kötü amaçlı kodla yamalayarak sahte Signal ve Telegram uygulamalarındaki işlevleri elde etti. Signal Plus Messenger, bir kurbanın Signal iletişiminin gözetlendiği belgelenmiş ilk vaka ve binlerce kullanıcının farkında olmadan casus uygulamaları indirdiği ortaya çıktı. ESET telemetrisi, çeşitli AB ülkeleri, Amerika Birleşik Devletleri, Ukrayna ve dünya çapındaki diğer yerlerdeki Android cihazlarda tespitler bildirdi. Her iki uygulama da daha sonra Google Play'den kaldırıldı.
ABDULVAHİT GÜRASLAN
