SMS della Morte" Tehdidi Yeniden Kapıda: Android Kullanıcıları Nasıl Kandırılıyor?

İtalya'dan başlayıp küresel ölçeğe yayılan "Ölüm SMS'i" kampanyaları, kargo ve banka kimliğine bürünerek Android cihazlara kötü amaçlı yazılım bulaştırıyor.

· 3 dk 2 "SMS della Morte" Tehdidi Yeniden Kapıda: Android Kullanıcıları Nasıl Kandırılıyor? Apple, yapay zeka harcamalarını kesti: Mühendis ekiplerinin bütçesi düşürüldü "SMS della Morte" (Ölüm SMS'i) olarak bilinen ve İtalya'da 2020'li yılların başından beri periyodik dalgalarla yeniden doğan siber saldırı kampanyaları, son dönemde yeniden yoğunlaşma gösteriyor.

Saldırganlar, kargo firmalarından (Poste Italiane, DHL, UPS), gümrük idarelerinden veya bankalardan geliyormuş gibi sahte SMS mesajları göndererek kullanıcıları bir bağlantıya tıklatmaya ve Android cihazlarına.apk uzantılı kötü amaçlı uygulama indirmeye yönlendiriyor.

Saldırı vektörü klasik bir "smishing" (SMS phishing) yöntemine dayanıyor. Kullanıcıya "Paketiniz teslim edilemedi, adres güncellemesi gerekli" veya "Gümrük vergisi ödemesi bekleniyor" gibi aciliyet yaratan mesajlar gönderiliyor.

Bağlantıya tıklandığında kullanıcı, resmi kurumun klonlanmış bir web sitesine yönlendiriliyor ve burada "Takip uygulaması" veya "Güvenlik modülü" adıyla bir APK dosyası indirmesi isteniyor.

Kullanıcı bu dosyayı kurduğunda (Android'in "Bilinmeyen Kaynaklardan Yükleme" izni verilmesi şartıyla), kötü amaçlı yazılım cihaza yerleşiyor. Modern varyantlar (FluBot, TeaBot, Coper, Medusa vb.) hemen Erişilebilirlik Hizmetleri (Accessibility Services) iznini isteyecek.

Bu izin verildiğinde yazılım ekranı okuyabilir, tuş basımlarını kaydedebilir, bildirimleri (2FA kodları dahil) ele geçirebilir ve cihazın tam kontrolünü ele geçirebilir.

İlk dönemde FluBot gibi yazılımlar öncelikle bankacılık kimlik bilgilerini (kullanıcı adı, şifre, SMS tabanlı 2FA kodları) çalmak ve rehberdeki kişilere yayılmak üzerine odaklanıyordu. Son yıllarda ise TeaBot (Anatsa), Coper (Octo) ve Medusa gibi daha modüler yapılar öne çıktı.

Bu yazılımlar bankacılık verilerinin yanı sıra kripto cüzdanlarını hedef alıyor, uzaktan erişim (RAT) yeteneğiyle cihaz ekranını canlı izleyebiliyor ve hatta fidye yazılımı modülleri barındırıyor. İtalya Ulusal Siber Güvenlik Ajansı (ACN) ve Avrupa Siber Güvenlik Ajansı (ENISA) raporları bu kampanyaların altyapısının (C2 sunucuları, dağıtım alan adıları) sürekli değiştirilerek polis operasyonlarından (örneğin 2022 FluBot operasyonu) sonra hızla yeniden kurulduğunu gösteriyor.

Yöntem İtalya'ya özgü değil. Türkiye'de de son yıllarda PTT, Yurtiçi Kargo, MNG Kargo, e-Devlet veya bankalar adına gönderilen "Paketiniz durduruldu", "Adresiniz eksik", "Hesabınız bloke edilecek" içeriğli SMS'lerle neredeyse birebir aynı modus operandi uygulanıyor.

Bilgi Teknolojileri ve İletişim Kurumu (BTK) ve bankaların Siber Olay Müdahale Ekipleri (SOME) bu konuda periyodik uyarılar yayınıyor. Temel fark; İtalya kampanyalarında genellikle "SMS della Morte" markasıyla anılan belirli bir恶意 yazılım ailesi (FluBot kökenli) hâkimken, Türkiye'de daha geniş bir yelpazede (SpyNote, AhMyth, yerel varyantlar) APK tabanlı uzaktan erişim trojanları (RAT) dağıtılıyor.

Siber güvenlik uzmanları, bu tehdidin teknik önlemlerle (antivirüs, spam filtresi) tamamen engellenemeyi, kullanıcı farkındalığına bağlı kaldığını vurguluyor. Kritik koruma önlemleri şunlardır:

Eğer cihazınıza şüpheli bir uygulama kurduysanız ve Erişilebilirlik izni verdyseniz; cihazı hemen internetten ayırın, Güvenli Mod ile başlayarak uygulamayı silin, ardından fabrika ayarlarına dönmeyi düşünün ve banka şifrelerinizi/2FA ayarlarınızı güvenli bir cihazdan değiştirin.