Android zararlısı Crocodilus kripto cüzdan bilgilerini hedef alıyor

Android cihazları hedef alan yeni bir zararlı yazılım olan ‘Crocodilus’, kripto para cüzdanı bilgilerini çalmak amacıyla aktif şekilde çalışıyor. Tehdit, 24’ünde (yerel saatle) siber güvenlik firması Threat Fabric tarafından gündeme getirildi. Bu kötü amaçlı yazılım, hedef uygulama açıldığında sahte bir ekran yerleştirerek kullanıcı bilgilerinin çalınmasına yol açıyor.

Threat Fabric’e göre Crocodilus, kripto para cüzdanı kullanıcılarını kandırmak için “Yedekleme işlemi 12 saat içinde tamamlanmazsa cüzdan sıfırlanacaktır” mesajını içeren bir *uyarı ekranı* gösteriyor. Bu mesajla kullanıcılar, cüzdan arayüzünden sihirli kelimeler olarak bilinen *seed phrase* bilgilerini kontrol etmeye yönlendiriliyor. Ancak bu kelimeler girildiği anda yazılım tarafından kaydediliyor. *Seed phrase*’in ele geçirilmesi, cüzdanın tamamen kontrol altına alınması ve içindeki tüm kripto paranın çalınması anlamına geliyor.

Crocodilus, klasik bir Truva Atı değil, günümüzün gelişmiş *bankacılık zararlı yazılımları* seviyesinde tehlike oluşturan bir yazılım olarak değerlendiriliyor. Ekran üzerine sahte arayüz oturtmanın ötesinde, parola gibi hassas verileri toplama, ekran görüntüsü alma ve uzaktan cihaz kontrolü gibi özelliklerle donatılmış durumda. İlk enfeksiyon genellikle kötü amaçlı uygulamaların kurulumu sırasında gerçekleşiyor. Ayrıca bu yazılımın Android 13 sürümündeki güvenlik protokollerini bile aşabildiği belirtiliyor.

Zararlı yazılım bulaşan cihazlarda, kullanıcı erişim izinleri otomatik olarak aktif hale geliyor. Böylece Crocodilus, C2 yani komuta ve kontrol sunucusuyla iletişim kurarak, hedef alınacak finans ve kripto para uygulamalarının listesini indiriyor, ardından o uygulamalara özel sahte giriş ekranlarını anında devreye sokabiliyor. Yazılım, cihazın sesini sessize alarak gerçekleştirdiği bu işlemi kullanıcının fark etmeyeceği şekilde yürütüyor.

Threat Fabric’in analizine göre, bugüne kadar tespit edilen saldırıların çoğu *Türkiye* ve *İspanya*’da gerçekleşti. Yazılım içindeki yazılı Türkçe yorumlar, geliştiricinin Türkçe konuşan biri olabileceğini düşündürüyor. Diğer bir olasılık ise bu saldırının *Sybra* adlı grup ya da kodu test etmekte olan *yeni bir hacker topluluğu* tarafından gerçekleştirilmiş olması.

Uzmanlar, Crocodilus’un sadece bir zararlı yazılımdan öte, kripto sektörünü tehdit eden yeni nesil bir saldırı aracı olduğunu vurguluyor. Özellikle sahte mesajlar ve gerçek zamanlı uzaktan erişim gibi *sosyal mühendislik* yöntemlerini bir araya getirerek çalışması, onun ciddiyetini artırıyor. Threat Fabric, “Bu Truva atı henüz ilk sürümlerinde olmasına rağmen, olağanüstü derecede yüksek bir teknik yetkinlik sergiliyor” diyerek tüm kullanıcıları uyarıyor.

Android kullanıcılarına, uygulama kurmadan önce kaynağını kontrol etmeleri ve *erişebilirlik izni* gibi hassas yetkilere dikkat etmeleri öneriliyor. Ayrıca kripto cüzdanlarda kullanılan *seed phrase* bilgileri kesinlikle dijital cihazlara yazılmamalı ya da herhangi bir uygulamaya girilmemeli. Bu temel güvenlik önlemleri, Crocodilus gibi tehditlerden korunmak için *hayati* önem taşıyor.