Sahte Ücretsiz Yayın Reklamları Android Telefonları Hedef Aldı: StreamRat Neredeyse Tam Kontrol Sağlıyor
Meta ve TikTok üzerinde ücretsiz televizyon yayını sunduğunu iddia eden reklamlar, Android kullanıcılarını StreamRat adlı yeni bir zararlı yazılıma yönlendirdi. ThreatFabric araştırmacıları, kampanyanın 11 Haziran-3 Temmuz 2026 arasında Meta üzerinde yaklaşık 570 bin hesaba ulaştığını belirlerken enfeksiyon sayısının açıklanmadığını bildirdi. Zararlı yazılım, kullanıcı gerekli izinleri verdiğinde ekranı izleme, bilgi toplama, sahte arayüz gösterme ve cihazı uzaktan yönetme gibi geniş yetenekler kazanıyor.
StreamRat Kurulumunda Kullanıcıdan Kritik Android İzinleri İsteniyor
Kampanyanın açılış sayfası, reklamdan gelen kişinin cihazını kontrol ederek yalnızca Android kullanıcılarına APK indirme seçeneği gösteriyor. Web sitesi ayrıca ziyaretçinin Facebook, Instagram, TikTok veya doğrudan tarayıcı üzerinden geldiğini belirleyerek kurulum talimatlarını buna göre değiştiriyor. Kullanıcıya sunulan adımlar, Chrome üzerinden bilinmeyen kaynaklardan uygulama yükleme izninin açılmasını ve Android Erişilebilirlik Hizmetleri erişiminin verilmesini teşvik ediyor.
İndirilen APK doğrudan asıl truva atını çalıştırmak yerine önce bir dropper görevi üstleniyor. Kurulum sırasında yazılım kendisini cihazın varsayılan ana ekran uygulaması olarak ayarlatabiliyor. Kullanıcı ana ekran düğmesine bastığında tekrar zararlı uygulamanın arayüzüne yönlendirilirken ikinci aşamada StreamRat yükleniyor ve çalıştırılıyor.
Dropper’ın kullandığı dikkat çekici yöntemlerden biri sahte bir VPN bağlantısı oluşturması oluyor. Yazılım, kendi trafiğini bağlantının dışında bırakırken telefondaki diğer uygulamaların internet erişimini kesiyor. ThreatFabric, bu yöntemin özellikle Google Play Protect gibi çevrim içi güvenlik kontrollerinin zararlı yük hakkında bulut tabanlı değerlendirme yapmasını zorlaştırmak için kullanıldığını düşünüyor; ancak Play Protect’in çevrim dışı tespit yetenekleri nedeniyle yöntemin korumayı tamamen aşmadığını belirtiyor.
StreamRat, Erişilebilirlik Hizmetleri iznini aldıktan sonra komuta ve kontrol sunucusuyla bağlantı kurarak cihaz hakkında bilgi toplamaya başlıyor. Zararlı yazılım yüklü uygulamaların listesini sunucuya gönderebiliyor, ekranda hangi uygulamanın açık olduğunu takip edebiliyor ve kullanıcının uygulamalara girdiği verileri yakalayabiliyor. Bu yapı, özellikle bankacılık uygulamalarında kullanılan kimlik bilgileri açısından ciddi bir risk oluşturuyor.
Saldırganlar ekran erişimi için iki farklı yöntem kullanabiliyor. VNC modu Android’in MediaProjection API’sinden yararlanarak ekran görüntüsünü aktarırken gizli VNC modu, Erişilebilirlik API’sindeki ekran görüntüsü işlevini kullanarak standart ekran paylaşımı göstergesini ortaya çıkarmadan görüntü alabiliyor. Araştırmacılar, gizli yöntemin yaklaşık 200 milisaniyede bir ekran görüntüsü yakalayabildiğini ve saldırgana telefonda gerçekleşen işlemleri neredeyse gerçek zamanlı izleme imkânı verdiğini aktarıyor.
StreamRat’ın Erişilebilirlik Düğüm Görüntüleyicisi ise ekranı yalnızca görüntü dosyası olarak almak yerine arayüzdeki AccessibilityNodeInfo öğelerini okuyarak metinsel biçimde yeniden oluşturuyor. Sistem, ekrandaki düğmeler, metin alanları ve diğer arayüz bileşenleri hakkında bilgi topladığı için saldırganın kullanıcı arayüzünü analiz etmesini kolaylaştırıyor.
Zararlı yazılımın yer paylaşımı mekanizması, gerçek uygulamaların üzerine saldırgan tarafından hazırlanan sahte ekranlar getirebiliyor. StreamRat, bankacılık uygulamalarının giriş ekranlarına benzeyen arayüzler oluşturarak kullanıcı adlarını, parolaları veya başka hassas bilgileri toplamak için kullanılabiliyor. Saldırganlar ayrıca kullanıcı dikkatini dağıtmak amacıyla sahte sistem ekranlarını da devreye sokabiliyor.
StreamRat’ın siyah kaplama seçeneği ekranın yaklaşık yüzde 98’ini kaplayarak kullanıcının dokunuşlarını engellerken saldırganın cihaz üzerindeki uzaktan kontrolünü sürdürmesine izin veriyor. Zararlı yazılımın sahte Android güncelleme ekranı da gösterebilmesi, kullanıcının arka planda gerçekleşen işlemleri normal bir sistem faaliyeti olarak algılamasına yol açabiliyor.
Tehdit altyapısının incelenmesi, StreamRat’ın yalnızca tek bir saldırganın kullandığı basit bir zararlı yazılım olmayabileceğine işaret ediyor. ThreatFabric, kontrol panelindeki farklı kullanıcı rolleri ile payload oluşturma araçlarını inceleyerek yapının Malware-as-a-Service modeline göre tasarlanmış olabileceğini değerlendiriyor. Bu model, zararlı yazılımın teknik altyapısını farklı saldırganlara sunarak dağıtım işini müşterilere bırakabiliyor.
Meta kampanyasının yaklaşık 570 bin hesaba ulaşması, reklamların doğrudan kötü amaçlı yazılım indiren kişi sayısını göstermese de saldırganların ücretli reklam sistemleriyle geniş kitlelere ulaşabildiğini ortaya koyuyor. Araştırmacılar, gözlemlenen kullanıcıların büyük bölümünün İspanya’da bulunduğunu belirtirken kampanyanın İspanyolca konuşan kullanıcıları hedeflediğini aktarıyor. TikTok tarafında ise aynı altyapının platformdan gelen ziyaretçileri tanıyabildiğine dair teknik bulgular bulunuyor ancak belirli bir TikTok reklamının erişim verisi paylaşılmıyor.
Android kullanıcıları açısından en kritik risk, reklamın kendisinden ziyade reklam sonrasında başlayan APK yükleme sürecinde ortaya çıkıyor. Resmî uygulama mağazası dışından indirilen bir dosya, özellikle Erişilebilirlik Hizmetleri, ekran paylaşımı veya varsayılan başlatıcı gibi uygulamanın amacıyla ilgisiz sistem yetkilerini istediğinde ciddi bir güvenlik işareti oluşturuyor.
Türkiye’deki Android kullanıcıları açısından da aynı saldırı modeli önem taşıyor çünkü kampanyanın temel yöntemi belirli bir ülkenin teknik altyapısına bağlı değil. Ücretsiz yayın, spor karşılaşması veya özel içerik vadeden sosyal medya reklamları farklı ülkelerde benzer biçimde kurgulanabildiği için kullanıcıların reklam üzerinden APK indirmemesi, uygulamaları güvenilir mağazalardan edinmesi ve beklenmedik erişim taleplerini reddetmesi temel savunma adımlarını oluşturuyor.
