Yeni SandStrike casus yazılımı, bubi tuzaklı VPN uygulamasıyla Android kullanıcılarını hedefliyor

Kaspersky araştırmacıları 2022'nin üçüncü çeyreğinde SandStrike adlı daha önce bilinmeyen bir Android odaklı casusluk kampanyasını ortaya çıkardı. Saldırının arkasındakiler son derece gelişmiş casus yazılımlar içeren bir VPN uygulaması dağıtarak Farsça konuşan bir azınlık olan Baháʼí toplumunu hedef alıyor. Kaspersky uzmanları ayrıca DeathNote kümesinin gelişmiş bir sürümünü keşfetti ve SentinelOne ile birlikte daha önce hiç görülmemiş bir kötü amaçlı yazılım Metatron'u mercek altına aldı. Bu ve diğer keşifler, Kaspersky'nin son yayınladığı üç aylık tehdit istihbaratı özetinde yer alıyor.

Saldırganlar, kurbanları casus yazılımları indirmeye ikna etmek için 1.000'den fazla takipçisi olan Facebook ve Instagram hesapları kurdu ve dini temalı çekici grafikler tasarlayarak söz konusu inancın yandaşlarına etkili bir tuzak hazırladı. Kurgulanan sosyal medya hesaplarının çoğu, saldırgan tarafından oluşturulan bir Telegram kanalına bağlantı içeriyor.

Telegram kanalında SandStrike yazılımının arkasındaki aktör, dini içerikli materyaller gibi belirli bölgelerde yasaklanmış sitelere erişmek için görünüşte zararsız bir VPN uygulaması dağıtıyor. Bu uygulamayı tamamen işlevsel hale getirmek için saldırganlar kendi VPN altyapılarını dahi kuruyor.

Ancak söz konusu VPN istemcisi, tehdit aktörlerinin arama günlükleri ve bağlantı listeleri dahil olmak üzere tüm hassas verileri toplamasına ve çalmasına, ayrıca zulme uğrayan bireylerin etkinliklerini izlemesine olanak tanıyan tam işlevli bir casus yazılım içeriyor.

2022'nin üçüncü çeyreği boyunca APT oyuncuları sürekli olarak taktiklerini değiştiriyor, araç setlerini yeniliyor ve yeni teknikler geliştiriyorlar. Araştırmaya dair önemli bulgular şöyle sıralanıyor: