CERT Polska: Meta reklamları Polonyalı Android kullanıcılarını ücretli SMS tuzağına çekti

Polonya'nın bilgisayar acil müdahale ekibi CERT Polska, Meta platformlarındaki ücretli reklamlarla Polonyalı kullanıcıları Google Play'de dağıtılan zararlı uygulamalara yönlendiren bir Android mobil ödeme dolandırıcılığı operasyonunu inceledi. Ekip 1.235 Meta reklamı kaydetti; 60 profil adı altında yayınlanan 852 reklam, kod veya altyapı üzerinden operasyonla ilişkilendirilen 17 Google Play uygulamasını tanıtıyordu.

İki reklamdan kapsamlı bir kampanyaya

Soruşturma 14 Eylül'de, kullanıcılara PDF uygulamalarının süresinin dolduğunu yanlış bildiren iki Facebook reklamıyla başladı. Reklamlara tıklayanlar Google Play'de PDF ile ilgisiz SMS uygulaması Messenger Pro'nun sayfasına gidiyordu. CERT Polska'ya göre uygulama mesajlaşma uygulaması gibi çalışıyor ve yasal olarak varsayılan SMS uygulaması olmayı isteyebiliyordu; ancak arka planda şifrelenmiş bir modülü yeniden oluşturuyor, SIM kartın ülke kodunu (Polonya için MCC 260) denetliyor ve nihai dolandırıcılık yükünü indiriyordu. 17 uygulamadan 6'sında doğrulanmış dolandırıcılık bileşenleri, 11'inde ise zararlı yükleyiciler vardı.

Fatura tuzağı nasıl işledi

Bu tür dolandırıcılık aboneyi onayı olmadan ücretli hizmete kaydeder. CERT Polska iki yol gözlemledi. İlkinde zararlı yazılım, üretilen anahtar sözcükleri premium SMS kısa numaralarına gönderiyordu; mesaj başına ücret 30,75 zlotiydi (8 dolar). Üç numara — 92505, 92512 ve 92513 — UKE'nin kamu sicilinde kayıtlı aktif premium hizmetlerdi ve dört büyük operatörde geçerliydi: Orange, T-Mobile, Play ve Polkomtel. İkinci yolda zararlı yazılım tarayıcı üzerinden operatör faturalama akışını otomatik yürütüyor, doğrulama SMS'ini de ele geçiriyor ve Teleaudio'nun yedi günde bir 17 zloti (4,4 dolar) isteyen teklifine ulaşıyordu.

CERT Polska'nın kıdemli güvenlik mühendisi Kacper Ratajczak'a göre operasyon aynı anda iki platforma dayanıyordu: "Tanıdık bir akıştaki reklamlar platformun kendi güvenilirliğini taşıdığı için sahte PDF uyarıları sıradan bir tanıtım gibi görünüyordu." CERT Polska kaç kişinin etkilendiğini ve toplam zararı açıklamadı.

Kaldırma işlemleri ve kalan risk

CERT Polska, Messenger Pro'yu 15 Eylül'de Google'a bildirdi. Google uygulamayı ve sonradan çıkan diğerlerini kaldırdı; Meta da bildirilen reklamları kaldırdı. Bu adımlar yeni kurulumları durdurdu ancak cihazlarda kurulu kopyaları etkilemedi: CERT'e göre komuta kontrol altyapısı inceleme boyunca çalışmaya devam etti ve yeni cihazlara görev gönderdi. Kaldırmalardan sonra yeni paketler de görüldüğü için etkilenen uygulamayı kurmuş olanlar onu cihazından silmeli.