Günlük hayatımızın vazgeçilmez bir parçası haline gelen anlık mesajlaşma uygulamaları, siber suçluların yeni hedefi oldu. Siber güvenlik alanında dünya lideri olan ESET, popüler uygulamalar Signal ve ToTok kullanıcılarını hedef alan, daha önce belgelenmemiş iki yeni Android casus yazılım kampanyasını ortaya çıkardı. Özellikle Birleşik Arap Emirlikleri (BAE) vatandaşlarını hedef aldığı düşünülen bu sinsi operasyonlar, kullanıcıları sahte web siteleri ve sosyal mühendislik taktikleriyle kandırarak kişisel verilerini ele geçiriyor.
ESET’in derinlemesine araştırması, Android/Spy.ProSpy ve Android/Spy.ToSpy adını verdiği iki yeni casus yazılım ailesinin keşfedilmesiyle sonuçlandı. Bu yazılımlar, kendilerini Signal uygulaması için bir “yükseltme” veya “eklenti” gibi göstererek ya da tartışmalı mesajlaşma uygulaması ToTok’u taklit ederek kurbanların cihazlarına sızıyor. Saldırganların komuta ve kontrol (C&C) sunucularının hala aktif olması, bu tehlikeli kampanyaların devam ettiğinin en net göstergesi.
Sahte Mağazalar ve Aldatıcı Eklentilerle Tuzak Kuruyorlar
Bu tehlikeli casus yazılımları keşfeden ESET araştırmacısı Lukáš Štefanko, saldırganların kullandığı yöntemlerin ne kadar aldatıcı olduğuna dikkat çekti:
“Casus yazılım içeren hiçbir uygulama resmî uygulama mağazalarında mevcut değildi. Her ikisinin de meşru hizmetler gibi görünen üçüncü taraf web sitelerinden manuel olarak yüklenmesi gerekiyor. Özellikle, ToSpy kötü amaçlı yazılım ailesini dağıtan web sitelerinden biri Samsung Galaxy Store’u taklit ederek kullanıcıları ToTok uygulamasının kötü amaçlı bir sürümünü manuel olarak indirip yüklemeye yönlendirdi. Yükledikten sonra, her iki casus yazılım ailesi de kalıcılıklarını koruyor ve güvenliği ihlal edilmiş Android cihazlardan hassas verileri ve dosyaları sürekli olarak sızdırıyor.”
Štefanko’nun da belirttiği gibi, bu operasyonların bölgesel odaklı olması ve stratejik dağıtım mekanizmaları kullanması, saldırının sıradan bir siber suç eyleminden çok daha fazlası olduğunu düşündürüyor.
ProSpy: Signal ve ToTok Kullanıcılarını Hedefleyen Gelişmiş Casus
ESET Research tarafından Haziran 2025‘te keşfedilen ProSpy kampanyasının, muhtemelen 2024’ten beri aktif olduğu tahmin ediliyor. Bu casus yazılım, iletişim platformları Signal ve ToTok‘u taklit etmek için tasarlanmış üç farklı aldatıcı web sitesi aracılığıyla yayılıyor. Bu siteler, kurbanlara “Signal Encryption Plugin” (Signal Şifreleme Eklentisi) veya “ToTok Pro” gibi isimler altında, uygulamalara yeni özellikler eklediğini iddia eden zararlı APK dosyaları sunuyor. Dağıtımda kullanılan alan adlarından birinin “ae.net” ile bitmesi, kampanyanın doğrudan BAE’de ikamet eden kişileri hedeflediğine dair güçlü bir kanıt olarak görülüyor, zira “AE” BAE’nin iki harfli ülke kodudur.
Tartışmalı ToTok Uygulaması Neden Hedefte?
Birleşik Arap Emirlikleri’nde geliştirilen ve bir dönem oldukça popüler olan ücretsiz mesajlaşma uygulaması ToTok, geçmişte gözetim endişeleri nedeniyle Aralık 2019‘da hem Google Play hem de Apple App Store’dan kaldırılmıştı. Kullanıcı tabanının büyük çoğunluğunun BAE’de olması, bu kullanıcıların uygulamayı resmi olmayan kaynaklardan indirme eğiliminde olmasını sağlıyor. Saldırganlar da tam olarak bu zaafiyetten faydalanarak “ToTok Pro” adı altında geliştirilmiş gibi görünen casus yazılım sürümlerini yayıyor.
ProSpy Neleri Çalıyor?
Kullanıcı zararlı uygulamayı çalıştırdığında, uygulama cihaza kaydedilmiş kişilere, SMS mesajlarına ve dosyalara erişim izni istiyor. Bu izinler verildiği anda ProSpy arka planda veri sızdırmaya başlıyor. Cihaz bilgileri, tüm SMS mesajları, kişi listesi ve hatta sohbet yedeklemeleri, ses kayıtları, videolar ve görüntüler gibi özel dosyalar anında saldırganların kontrolündeki sunuculara gönderiliyor.
ToSpy: ToTok Klonuyla Kapsamlı Veri Hırsızlığı
Yine Haziran 2025‘te, ESET telemetri sistemleri BAE’de bulunan bir cihazdan yayılan ve daha önce belgelenmemiş bir başka Android casus yazılım ailesi olan ToSpy‘ı tespit etti. Bu casus yazılımın, ToTok uygulamasını birebir taklit eden dört farklı aldatıcı web sitesi aracılığıyla dağıtıldığı ortaya çıkarıldı. ESET’in bulguları, ToSpy kampanyasının çok daha eskiye dayandığını ve muhtemelen 2022’nin ortalarında başladığını gösteriyor.
ToSpy, arka planda sessizce çalışarak şu verileri toplayıp saldırganlara iletiyor:
- Kullanıcı kişi listesi
- Sohbet yedeklemeleri
- Cihazdaki tüm görüntüler ve belgeler
- Ses ve video dosyaları
- Cihaz bilgileri
Kullanıcılar Kendilerini Nasıl Koruyabilir?
ESET araştırmacısı Lukáš Štefanko, Android kullanıcılarının bu tür tehditlere karşı alabileceği basit ama etkili önlemler olduğunu vurguluyor:
“Kullanıcılar, resmî olmayan kaynaklardan uygulama indirirken ve bilinmeyen kaynaklardan yüklemeyi etkinleştirirken ayrıca resmî uygulama mağazaları dışındaki uygulamaları veya eklentileri, özellikle güvenilir hizmetleri geliştirdiğini iddia edenleri yüklerken dikkatli olmalıdır.”
Bu tür saldırılardan korunmak için kullanıcıların şu adımları izlemesi kritik önem taşıyor:
- Sadece Resmi Mağazaları Kullanın: Uygulamalarınızı yalnızca Google Play Store gibi güvenilir ve resmi kaynaklardan indirin.
- “Bilinmeyen Kaynaklar” Ayarına Dikkat Edin: Android’in “bilinmeyen kaynaklardan uygulama yükle” ayarını kapalı tutun ve yalnızca güvendiğiniz bir sebeple geçici olarak açın.
- İzinleri Gözden Geçirin: Bir uygulamanın istediği izinleri dikkatlice kontrol edin. Bir şifreleme eklentisinin tüm kişi listenize veya dosyalarınıza erişmesi şüphe uyandırmalıdır.
- Güvenlik Yazılımı Kullanın: Cihazınızda ESET Mobile Security gibi saygın bir mobil güvenlik yazılımı bulundurun.
Sıkça Sorulan Sorular
-
Bu casus yazılımlar telefonuma Google Play Store’dan bulaşabilir mi?
Hayır. ESET’in raporuna göre, hem ProSpy hem de ToSpy casus yazılımları resmi uygulama mağazalarında bulunmuyor. Bu yazılımlar, kullanıcıları kandırmak için tasarlanmış sahte web siteleri veya taklit uygulama mağazaları aracılığıyla, kullanıcıların manuel olarak APK dosyası yüklemesiyle bulaşıyor.
-
ToTok uygulaması neden bu kadar çok hedefleniyor?
ToTok, özellikle Birleşik Arap Emirlikleri’nde çok popüler bir uygulamaydı. Ancak geçmişte casusluk iddiaları nedeniyle resmi uygulama mağazalarından kaldırıldı. Bu durum, mevcut kullanıcıların uygulamayı gayriresmi kaynaklardan aramasına yol açtı. Siber suçlular da bu durumu fırsat bilerek, uygulamanın sahte ve casus yazılım içeren versiyonlarını “ToTok Pro” gibi isimlerle yayarak bu savunmasız kullanıcı kitlesini hedef alıyor.
-
Telefonumda bu casus yazılımlardan birinin olup olmadığını nasıl anlarım?
Bu tür casus yazılımlar genellikle arka planda sessizce çalıştığı için tespit edilmeleri zordur. En güvenilir yöntem, telefonunuza ESET gibi tanınmış bir mobil güvenlik uygulaması kurarak tam bir tarama yapmaktır. Ayrıca, şüpheli bir şekilde yüksek veri kullanımı, pilin hızla tükenmesi veya tanımadığınız uygulamaların varlığı gibi belirtiler de bir enfeksiyon işareti olabilir.
