Sahte mesajlaşma uygulamalarıyla veri sızdırıyorlar

Haber Merkezi19 Ekim 2025

Siber güvenlik şirketi ESET, Signal ve ToTok kullanıcılarını hedef alan iki ayrı Android casus yazılım kampanyası ortaya çıkardı. ESET’in araştırmasına göre, Birleşik Arap Emirlikleri (BAE) vatandaşlarını hedef aldığı düşünülen bu kampanyalar, sahte web siteleri ve sosyal mühendislik yöntemleriyle kötü amaçlı yazılım dağıtıyor.

ESET’ten iki yeni casus yazılım tespiti

ESET’in bulguları, daha önce belgelenmemiş iki casus yazılım ailesinin keşfedilmesini sağladı: Android/Spy.ProSpy ve Android/Spy.ToSpy. ProSpy, Signal ve ToTok uygulamaları için yükseltme veya eklenti gibi davranırken; ToSpy, doğrudan ToTok uygulamasını taklit ediyor. ESET araştırmacılarına göre, C&C sunucularının hâlâ aktif olması, ToSpy kampanyalarının sürdüğünü gösteriyor.

Sahte mağazalar üzerinden yayılıyorlar

ESET araştırmacısı Lukáš Štefanko, casus yazılım içeren hiçbir uygulamanın resmî mağazalarda bulunmadığını belirtti. Štefanko, “Her iki casus yazılım da yalnızca üçüncü taraf web sitelerinden manuel olarak yükleniyor. Özellikle ToSpy, Samsung Galaxy Store’u taklit eden sahte bir web sitesi aracılığıyla ToTok’un kötü amaçlı bir sürümünü dağıtıyor” dedi. Štefanko, indirilen casus yazılımların kalıcılığını koruduğunu ve güvenliği ihlal edilen cihazlardan sürekli veri sızdırdığını ifade etti.

Kampanyalar BAE kullanıcılarını hedefliyor

ESET Research, ProSpy kampanyasını Haziran 2025’te keşfetti. Araştırma, kampanyanın 2024’ten bu yana aktif olduğunu ve Signal Encryption Plugin ile ToTok Pro adını taşıyan sahte APK’lar aracılığıyla yayıldığını ortaya koydu. Alan adlarında “.ae” uzantısının bulunması, saldırıların BAE merkezli kullanıcıları hedeflediğini düşündürüyor.

Soruşturma sırasında, aynı kötü amaçlı yazılım tabanını kullanan beş farklı “ToTok Pro” sürümü daha tespit edildi. 2019’da gizlilik endişeleri nedeniyle uygulama mağazalarından kaldırılan ToTok’un resmî olmayan sürümleri, bölgedeki kullanıcılar arasında hâlâ indirilmeye devam ediyor.

Kapsamlı veri erişimi sağlıyor

Her iki kötü amaçlı yazılım da çalıştırıldığında, cihazlardaki kişilere, SMS mesajlarına ve dosyalara erişim izni istiyor. İzin verildiğinde arka planda veri sızıntısı başlıyor. Signal Encryption Plugin adı altında dağıtılan sürüm, cihaz bilgilerini, kişi listelerini, SMS mesajlarını ve sohbet yedeklemeleriyle birlikte medya dosyalarını dışarı aktarıyor.

ESET’in telemetri verilerine göre, ToSpy yazılımı 2022 ortasından bu yana etkin. Yazılım, ToTok’un popülaritesini kullanarak dört farklı sahte web sitesi üzerinden dağıtılıyor. ESET, kampanyanın öncelikli hedeflerinin BAE ve çevre bölgelerdeki kullanıcılar olduğunu belirtiyor.

Kullanıcılara uyarı: Resmî mağazalar dışına çıkmayın

ESET araştırmacısı Štefanko, kullanıcıları resmî olmayan kaynaklardan uygulama indirmenin risklerine karşı uyardı: “Bilinmeyen kaynaklardan yüklemeyi etkinleştirirken veya üçüncü taraf sitelerden gelen eklentileri kurarken dikkatli olun. Özellikle güvenilir uygulamaları geliştirdiğini iddia eden sahte hizmetler, kullanıcı verilerini tehlikeye atabilir.”