Zimperium'un zLabs araştırma ekibi, Mart 2025'ten Ocak 2026'ya kadar süren ve 'Premium Deception' adı verilen bir Android kötü amaçlı yazılım kampanyasını ortaya çıkardı. Kampanya, yaklaşık 250 sahte uygulama kullanarak kullanıcıları farkında olmadan premium hizmetlere kaydetti. Hedef ülkeler arasında Malezya, Tayland, Romanya ve Hırvatistan bulunuyor. Sahte uygulamalar, Facebook Messenger, Instagram Threads, TikTok, Minecraft ve Grand Theft Auto gibi tanınmış markaları taklit ediyor.
Araştırmacılar, üç farklı kötü amaçlı yazılım varyantı tespit etti. En gelişmiş varyant, Malezya'daki DiGi abonelerini hedef alarak premium abonelik sürecini tamamen otomatikleştiriyor. Kötü amaçlı yazılım, SIM operatör kodunu okuduktan sonra Wi-Fi'yi kapatıp mobil ağa geçiyor, DiGi'nin faturalama portalını gizli bir WebView'de yüklüyor ve JavaScript ile abonelik onayını tamamlıyor. Tek kullanımlık şifreler, Google'ın SMS Retriever API'si kullanılarak çalınıyor.
İkinci varyant, Taylandlı kullanıcıları hedef alarak çok aşamalı bir saldırı gerçekleştiriyor. Komuta ve kontrol sunucusundan dinamik abonelik hedefleri alıyor, 60 ve 90 saniyelik gecikmelerle SMS göndererek otomatik dolandırıcılık tespitini atlatıyor ve gizli operatör faturalama sayfalarından oturum çerezlerini topluyor. Üçüncü varyant ise Telegram üzerinden gerçek zamanlı bildirim göndererek saldırganları enfeksiyon, izin veya premium SMS durumlarından haberdar ediyor.
Sonuç ve Değerlendirme
Kampanya altyapısı, iyi organize edilmiş ticari bir operasyonu işaret ediyor. Her kötü amaçlı örnek, HTTP referrer başlığına uygulama adı, ülke, platform ve operatör kodu gibi bilgiler ekleyerek saldırganların hangi sahte uygulama ve dağıtım kanallarının daha başarılı olduğunu ölçmesini sağlıyor. Hedef dışı bir operatör tespit edildiğinde, kötü amaçlı yazılım şüphe çekmemek için zararsız bir web sayfası gösteriyor. Kullanıcıların, üçüncü taraf uygulama mağazalarından uygulama yüklemekten kaçınmaları, yüklü uygulamaları güvenilir markalarla karşılaştırmaları ve mobil faturalarını açıklanamayan ücretlere karşı düzenli olarak kontrol etmeleri öneriliyor.
