Siber güvenlik şirketi ESET, Android telefonlarda IPTV uygulaması güncellemesi gibi görünen sahte bir dosyanın banka uygulamalarının üzerine sahte giriş ekranı açarak kullanıcıların PIN kodunu ve mobil bankacılık parolasını çaldığını duyurdu. Group-IB’nin tespit ettiği RemControl adlı Android truva atı, TVTap adlı IPTV uygulamasının güncellemesi gibi görünen sahte bir APK üzerinden yayılıyor. ESET, Türkiye’nin Android tehditlerinin en yoğun görüldüğü ülkeler arasında olduğuna dikkat çekti.
- RemControl, Erişilebilirlik hizmetini kötüye kullanarak banka uygulamalarının üzerine sahte giriş ekranı getiriyor.
- ESET Tehdit Raporu’na göre Türkiye, Aralık 2025-Mayıs 2026 arasında Ukrayna ile birlikte Android tehditlerinin en yoğun görüldüğü ülkeler arasında üst dilimde yer aldı.
- Kampanya şu an İtalya, Fransa, İspanya, Polonya, Portekiz, Kanada ve Körfez ülkelerindeki bankaları hedefliyor; hedef listesine yeni bir ülke eklemek saldırganın sunucusundaki bir ayarı değiştirmesiyle mümkün oluyor.
Sahte güncelleme nasıl kuruluyor?
Saldırganlar, Google Play sayfasının kopyası olan sahte internet sayfaları hazırlayıp Meta’nın reklam altyapısı üzerinden bu sayfalara ziyaretçi çekiyor. TVTap Google Play’de bulunmadığı için uygulamayı sunan Google Play görünümlü sayfa tek başına sahte olduğunu gösteriyor. Kurulum sırasında telefonun güvenlik taraması Google Play Protect devre dışı bırakılıyor, ardından zararlı yazılım Erişilebilirlik hizmeti için izin istiyor.
Erişilebilirlik izni ekranı nasıl ele geçiriyor?
Bu izni alan RemControl, telefonda hangi uygulamanın açık olduğunu izliyor. Hedef listesindeki bir banka uygulaması açıldığında gerçek ekranın üzerine sahte bir giriş sayfası getirerek PIN kodu, mobil bankacılık parolası ve kartın son kullanma tarihini istiyor. Bilgiler saldırgana gönderildikten sonra sahte ekran kapanıyor ve gerçek banka uygulaması yeniden görülüyor.
ESET Türkiye Ürün ve Pazarlama Müdürü Can Erginkurban, konuya ilişkin şu değerlendirmeyi yaptı:
“Bir uygulamanın tehlikeli olup olmadığı, nereden indirildiğinden çok kurulduktan sonra ne istediğinden anlaşılıyor. Meşru bir yayın uygulamasının ekranınızı okumasına ya da sizin yerinize dokunmasına ihtiyacı yok. Bir TV uygulaması Erişilebilirlik izni istiyorsa kurulumu orada durdurmak bankadaki paranızı korumanın en kısa yolu.”
Kendinizi nasıl korursunuz?
- Adres çubuğundaki alan adını kontrol etmeden Google Play görünümlü sayfalardan uygulama indirmeyin.
- Bir TV uygulamasının güncellemesi başka bir uygulamanın kurulmasını istiyorsa işlemi durdurun.
- Yayın uygulamasının VPN bağlantısı kurmak istemesine dikkat edin.
- Erişilebilirlik izni isteyen bir IPTV oynatıcısının kurulumunu tamamlamayın.
İzin zaten verildiyse cihaz bankacılık işlemleri için kullanılmamalı. RemControl bazı ayar ekranlarını kapatabildiği için zararlı uygulamanın kaldırılması güvenli modda yapılmalı; kaldırma mümkün değilse son çare olarak fabrika ayarlarına dönülmeli.