Android telefonlarda IPTV uygulaması güncellemesi üzere görünen uydurma bir belge, banka uygulamalarının üzerine geçersiz giriş ekranı açarak PIN kodu ve taşınabilir bankacılık parolasını çalıyor. Siber güvenlik şirketi ESET, Türkiye’nin Android tehditlerinin en yoğun görüldüğü ülkeler arasında olduğuna dikkat çekerek kullanıcıları mağaza dışından kurulan uygulamaların istediği izinlere karşı dikkatli olmaya çağırdı. Group-IB’nin tespit ettiği RemControl isimli Android truva atı, bir IPTV uygulaması olan TVTap’ın güncellemesi üzere görünen geçersiz bir APK üzerinden yayılıyor.
Group-IB’nin 23 Eylül’de yayımladığı RemControl tahlili, mağaza dışından kurulan bir uygulama güncellemesinin banka bilgilerini hedefleyen bir akına nasıl dönüşebileceğini ortaya koyuyor. Kullanıcı güncelleme yaptığını düşünürken telefona RemControl isimli Android truva atı yerleşiyor. Ziyanlı yazılım, Erişilebilirlik hizmetini berbata kullanarak banka uygulamalarının üzerine düzmece giriş ekranları getiriyor ve PIN kodu, taşınabilir bankacılık parolası ve kartın son kullanma tarihini ele geçirmeye çalışıyor. RemControl’ün bugünkü amaç listesinde Türk bankaları bulunmuyor; kampanya şu an İtalya, Fransa, İspanya, Polonya, Portekiz, Kanada ve Körfez ülkelerindeki bankaları hedefliyor. Fakat amaç listesi ve geçersiz ekranlar saldırganın sunucusundan geldiği için yeni bir ülkeyi eklemek, telefonlara yeni bir yazılım kurdurmayı değil, sunucudaki bir ayarı değiştirmeyi gerektiriyor.
Türkiye Android tehditlerinde öne çıkıyor
ESET Tehdit Raporu H1 2026’ya nazaran Türkiye, Aralık 2025 ile Mayıs 2026 arasında Android tehditlerinin en yoğun görüldüğü ülkeler arasında Ukrayna ile birlikte en üst dilimde yer aldı. Birebir devirde en sık görülen Android tehdidi yüzde 14,7 hisseyle Android/TrojanDropper.Agent oldu. Öteki bir zararlıyı telefona kurmak üzere kullanılan bu çeşit yükleyicilerin akabinde banka bilgilerini çalan Android/Spy.Banker ailesi yüzde 4,3 hisseyle altıncı sırada. IPTV APK belgeleri Türkiye’de ilgi görüyor: Google Trends datalarına nazaran “iptv apk”, yıl boyunca yoğun aranan bir terim. Bu tablo, mağaza dışından uygulama indirme alışkanlığının taşıdığı riskin Türkiye açısından da kıymet taşıdığını gösteriyor.
Sahte güncelleme, TV uygulamasının ismini kullanıyor
RemControl kampanyasında saldırganlar gerçek TVTap uygulamasını ziyanlı hâle getirmiyor. Bunun yerine uygulamanın güncellemesi üzere görünen bir APK hazırlıyor. Kullanıcıların alışık olduğu bir uygulamanın güncellemesiyle karşı karşıya olduklarını düşünmeleri, ziyanlı yazılımın telefona kurulmasını kolaylaştırıyor. Saldırganlar Google Play sayfasının kopyası olan uydurma internet sayfaları hazırlıyor ve bu sayfalara Meta’nın reklam altyapısı üzerinden ziyaretçi çekiyor. TVTap Google Play’de bulunmadığı için bu uygulamayı sunan Google Play görünümlü sayfa, tek başına uydurma olduğunu gösteriyor. Heyetim sırasında telefonun kendi güvenlik taraması Google Play Protect devre dışı bırakılıyor, akabinde ziyanlı yazılım Erişilebilirlik hizmeti için müsaade istiyor.
Erişilebilirlik müsaadesi banka ekranını uydurma sayfayla kaplıyor
Android’in Erişilebilirlik hizmeti, görme yahut hareket kısıtı olan kullanıcıların aygıtları kullanabilmesi için tasarlanmış bir özellik. Bu müsaadesi alan bir uygulama ekrandaki her öğeyi okuyabiliyor ve kullanıcı ismine dokunabiliyor. RemControl bu müsaadesi aldıktan sonra telefonda hangi uygulamanın açık olduğunu izliyor. Amaç listesindeki bir banka uygulaması açıldığında bankanın gerçek ekranının üzerine uydurma bir giriş sayfası getiriyor. Kullanıcıdan PIN kodu, taşınabilir bankacılık parolası ve kartın son kullanma tarihi üzere bilgiler isteniyor. Bilgiler saldırgana gönderildikten sonra geçersiz ekran kapanıyor ve gerçek banka uygulaması tekrar görülüyor.
ESET Türkiye Ürün ve Pazarlama Müdürü Can Erginkurban, yaptığı açıklamada “Bir uygulamanın tehlikeli olup olmadığı, nereden indirildiğinden çok kurulduktan sonra ne istediğinden anlaşılıyor. Legal bir yayın uygulamasının ekranınızı okumasına ya da sizin yerinize dokunmasına muhtaçlığı yok. Bir TV uygulaması Erişilebilirlik müsaadesi istiyorsa heyetimi orada durdurmak bankadaki paranızı muhafazanın en kısa yolu” dedi.
En inançlı yol, yayın hizmetlerinin resmî uygulama mağazalarındaki uygulamalarını kullanmak; mağaza dışından kurulan uygulamalar hem güvenlik hem de yasal açıdan risk taşıyor.
Mağaza dışından IPTV uygulaması yahut güncellemesi indirirken şu dört noktaya dikkat:
Sahte indirme sayfaları: Google Play görünümündeki bir internet sayfası, gerçek bir uygulama mağazası olduğu manasına gelmiyor. TVTap üzere Google Play’de bulunmayan bir uygulamayı sunan Google Play görünümlü sayfa, tek başına geçersiz olduğunu gösteriyor. Adres çubuğundaki alan ismi denetim edilmeli.
Bilinmeyen kaynaklardan uygulama yükleme: Bir TV uygulamasının güncellemesi öteki bir uygulamanın kurulması için müsaade istiyorsa süreç durdurulmalı.
VPN kontağı isteği: Yayın izlemek için kullanılan bir uygulamanın VPN kontağı kurmak istemesi dikkat edilmesi gereken bir durum.
Erişilebilirlik müsaadesi: Meşru bir IPTV oynatıcısının ekranı okuması yahut kullanıcı ismine dokunması için bir sebebi bulunmuyor. Bu müsaade isteniyorsa uygulama suramı tamamlanmamalı.
İzin zati verildiyse aygıt bankacılık süreçleri için kullanılmamalı ve banka öbür bir telefondan aranmalı. RemControl’ün kimi ayar ekranlarını kapatabilmesi sebebiyle ziyanlı uygulamanın kaldırılması inançlı modda gerçekleştirilmeli. İnançlı modda sırf telefonla birlikte gelen uygulamalar çalıştığı için ziyanlı yazılımın ekrana müdahale etmesi engellenebiliyor. Bunun için telefon kapatılıp tekrar açılırken üretici logosu göründüğünde ses kısma tuşu, ekranın alt köşesinde “Güvenli mod” yazısı görünene kadar basılı tutulabilir. Akabinde tanınmayan uygulama kaldırılmalı ve telefon olağan halde tekrar başlatılmalı. Kaldırma mümkün değilse son deva olarak fabrika ayarlarına dönülmeli.
Kaynak: (BYZHA) Beyaz Haber Ajansı
