Tehdit aktörleri, bankacılık uygulamalarını taklit etmek ve Android ve iOS kullanıcılarından kimlik bilgilerini çalmak için ilerici web uygulamalarını kullanmaya başladılar.
Progressive Web Uygulamaları (PWA), doğrudan tarayıcıdan yüklenebilen ve push bildirimleri, cihaz donanımına erişim ve arka plan veri senkronizasyonu gibi özellikler aracılığıyla yerel benzeri bir deneyim sunabilen platformlar arası uygulamalardır.
Kimlik avı kampanyalarında bu tür uygulamaları kullanmak, kaçınma algılamaya, uygulama yükleme kısıtlamalarını atlamaya ve kullanıcıya şüphe uyandırabilecek standart bir istem sunmak zorunda kalmadan cihazdaki riskli izinlere erişim sağlar.
Teknik ilk olarak Vahşi'de Temmuz 2023'te Polonya'da gözlemlerken, aynı yılın Kasım ayında başlatılan bir sonraki kampanya Çek kullanıcılarını hedefledi.
Siber güvenlik şirketi ESET, şu anda bu tekniğe dayanan iki ayrı kampanyayı izlediğini bildiriyor, biri Macar finans kurumu OTP Bank ve diğer Gürcistan'daki TBC Bank'ı hedefleyen TBC Bank'ı hedefliyor.
Ancak, iki kampanya farklı tehdit aktörleri tarafından işletiliyor gibi görünüyor. Biri çalınan kimlik bilgilerini almak için farklı bir komut ve kontrol (C2) altyapısı kullanırken, diğer grup telgrafla çalınan verileri günlüğe kaydeder.
ESET, kampanyaların otomatik çağrılar, SMS mesajları (smsing) ve Facebook reklam kampanyalarında iyi hazırlanmış kötü niyetle dahil olmak üzere hedef kitlelerine ulaşmak için geniş bir yöntem yelpazesine güvendiğini söylüyor.
İlk iki durumda, siber suçlular, Bankacılık uygulamalarının modası geçmiş olduğu ve en son sürümü güvenlik nedeniyle yükleme ihtiyacı hakkında sahte bir mesajla kullanıcıyı kandırarak PHISH PWA'yı indirmek için bir URL sağlıyor.
Sosyal medyada kötü niyetli reklamlar söz konusu olduğunda, tehdit aktörleri, meşruiyet duygusu teşvik etmek ve sözde kritik bir uygulama güncellemesi kurmak için parasal ödüller gibi sınırlı süreli teklifleri teşvik etmek için taklit edilen bankanın resmi maskotunu kullanırlar.
Cihaza bağlı olarak (kullanıcı ajanı HTTP başlığı ile doğrulandı), reklamı tıklamak kurbanı Bogus Google Play veya App Store sayfasına götürür.
"Yükle" düğmesine tıklamak, kullanıcıdan bankacılık uygulaması olarak poz veren kötü amaçlı bir PWA yüklemesini ister. Android'de bazı durumlarda, kötü amaçlı uygulama, Chrome tarayıcısı tarafından oluşturulan yerel bir APK olan bir WebApk şeklinde yüklenir.
Kimlik avı uygulaması resmi bankacılık uygulamasının tanımlayıcılarını (örn. Logo meşru görünümlü oturum açma ekranı) kullanır ve hatta Google Play Store'u uygulamanın yazılım kaynağı olarak bildirir.
PWAS, birden fazla platformda çalışmak üzere tasarlanmıştır, böylece saldırganlar tek bir kimlik avı kampanyası ve yük yoluyla daha geniş bir kitleyi hedefleyebilir.
Bununla birlikte, en önemli fayda, Google’ın ve Apple’ın resmi uygulama mağazaları dışındaki uygulamalar için kurulum kısıtlamalarını atlamanın yanı sıra kurbanları potansiyel risklere karşı uyarabilecek “Bilinmeyen Kaynaklardan Yükle” uyarı istemlerini atlamaktır.
PWAS, özellikle simgedeki tarayıcı logosunun ve uygulama içindeki tarayıcı arayüzünün gizlendiği WebApks durumunda, yerel uygulamaların görünümünü ve hissini taklit edebilir, bu nedenle meşru uygulamalardan ayırt edilmesi neredeyse imkansızdır.
Bu web uygulamaları, mobil işletim sisteminin izin ekranından istemeden coğrafi konum, kamera ve mikrofon gibi tarayıcı API'leri aracılığıyla çeşitli cihaz sistemlerine erişebilir.
Nihayetinde, PWAS, kullanıcı etkileşimi olmadan saldırgan tarafından güncellenebilir veya değiştirilebilir, bu da kimlik avı kampanyasının daha fazla başarı için dinamik olarak ayarlanmasına izin verir.
PWAS'ın kimlik avı için kötüye kullanılması, daha fazla siber suçlular potansiyeli ve faydaları fark ettikçe yeni oranlar kazanabilecek tehlikeli bir ortaya çıkan eğilimdir.
Birkaç ay önce, PWAS kullanarak Windows hesaplarını hedefleyen yeni kimlik avı kitlerini bildirdik. Kitler, güvenlik araştırmacısı Mr.D0X tarafından özellikle bu uygulamaların ikna edici kurumsal giriş formları oluşturarak kimlik bilgilerini çalmak için nasıl kullanılabileceğini göstermek için oluşturuldu.
BleepingComputer, PWAS/WebApks'a karşı herhangi bir savunmayı uygulamayı planlayıp planlamadıklarını sormak için hem Google hem de Apple ile iletişime geçti ve geri döndükten sonra bu gönderiyi yanıtlarıyla güncelleyeceğiz.
Yeni Ngate Android kötü amaçlı yazılım, kredi kartı verilerini çalmak için NFC çipini kullanır
Chrome, Android ekranını paylaştığınızda kredi kartlarını, şifreleri düzeltecektir.
Google, Android'de Gemini AI ile gizliliğe odaklandığını söylüyor
Google, Hedeflenen Saldırılarda Sözden Söz konusu Android Çekirdek Sıfır Günleri
Android Spyware 'Mandrake' 2022'den beri Google Play'deki uygulamalarda gizli
Kaynak: Bleeping Computer