ERMAC Android bankacılık truva atının kaynak kodu sızdı, altyapısı ve işleyişi açığa çıktı

Android cihazları hedef alan ERMAC bankacılık truva atının 3. sürümüne ait kaynak kod çevrimiçi ortamda sızdırıldı. Hunt.io araştırmacıları, 2024 yılı Mart ayında yaptıkları taramalar sırasında açık bırakılmış bir dizinde buldukları arşivi inceleyerek zararlı yazılımın işleyişini açığa çıkardı.

Sızıntının içeriği
Arşivde zararlının PHP tabanlı komuta-kontrol altyapısı, React ile hazırlanmış operatör paneli, Go dilinde yazılmış veri sızdırma sunucusu, Kotlin tabanlı arka kapı ve özelleştirilmiş APK üreticisi yer aldı. Analizler, ERMAC 3.0’ın önceki sürümlere kıyasla kapsamını önemli ölçüde genişlettiğini gösterdi.

Hedefler ve yetenekler
ERMAC’ın yeni sürümü, bankacılık, alışveriş ve kripto para uygulamaları dahil olmak üzere 700’den fazla mobil uygulamayı hedefliyor. Zararlı yazılım; SMS, kişi listesi ve hesap bilgilerini çalabiliyor, Gmail içeriklerine erişebiliyor, sahte bildirimler gösterebiliyor, cihaz kamerasıyla fotoğraf çekebiliyor ve uzaktan uygulama yönetimi yapabiliyor. Ayrıca, cihazdan dosya indirme, çağrı yönlendirme ve SMS gönderme gibi iletişim suiistimali özelliklerine de sahip.

Altyapı zafiyetleri
Hunt.io, sızıntı sayesinde ERMAC’ın canlı komuta-kontrol sunucularını ve operatör panellerini tespit etti. İncelemelerde sabitlenmiş JWT tokenleri, varsayılan kök kullanıcı bilgileri ve korumasız yönetim panelleri gibi ciddi güvenlik açıkları bulundu. Bu durum, altyapının dışarıdan erişime ve manipülasyona açık hale gelmesine neden oldu.

Olası etkiler
Kaynak kod sızıntısının, ERMAC’ı “hizmet olarak kötü amaçlı yazılım” (MaaS) modelinde kullanan suçluların güvenini zedelemesi bekleniyor. Güvenlik çözümlerinin ERMAC’ı daha iyi tespit etmesi mümkün olsa da, kodun diğer tehdit aktörlerinin eline geçmesi durumunda daha gelişmiş ve tespit edilmesi zor yeni varyantların ortaya çıkabileceği değerlendiriliyor.

Kaynak: CUMHA - CUMHUR HABER AJANSI