Güvenlik araştırmacısı Pol Thill, Neo_Net adıyla bilinen Meksika merkezli bir hacker’ın küresel bankaları hedef alan bir dizi siber saldırının kilit ismi olduğunu tespit etti.
Thill’in bulgularına göre, SentinelOne tarafından yayınlanan ve vx-underground ile işbirliği içinde yapılan bir Kötü Amaçlı Yazılım Araştırma Yarışması sonrasında, Neo_Net, gelişmiş Android kötü amaçlı yazılım kullanarak dünya genelindeki birçok finansal kurumun güvenliğini tehlikeye atmış.
Neo_Net’in kampanyası Haziran 2021’den Nisan 2023’e kadar devam etti ve başlıca hedefleri İspanyol ve Şilili finansal kurumlar olan çeşitli ülkelerdeki tanınmış bankalara odaklandı. Siber suçlunun dikkate değer hedefleri arasında Santander, BBVA ve CaixaBank yer alıyor.
Neo_Net, nispeten sofistike olmayan araçlar kullanmasına rağmen dikkate değer başarı elde etti ve kurbanların banka hesaplarından 350.000 euro (382.153 dolar) üzerinde para çalarak binlerce kişinin kişisel bilgilerini tehlikeye attı.
Hacker’ın saldırı stratejisi, saygın finansal kurumların meşru iletişimlerine benzetilen SMS dolandırıcılığı mesajları göndermek üzerine kuruluydu. Bu özenle hazırlanan mesajlar, kurbanları hassas kimlik bilgilerini ifşa etmeye ikna etti.
Neo_Net ayrıca, güvenlik uygulamaları olarak kılık değiştirmiş Android Truva atları geliştirip dağıtarak, şüphesiz kurbanların güvenini istismar ederek bankacılık bilgilerine erişim sağladı.
Thill, Neo_Net’in operasyonunun, Ankarex adı verilen Smishing-as-a-Service platformuna dayandığını ve bu platform aracılığıyla altyapısını birden fazla ortakla paylaşarak hizmet sağladığını açıkladı. Bu strateji, siber suçlunun etki alanını genişletmesine ve çeşitli ülkelerde başarılı saldırılar gerçekleştirmesine olanak tanıdı.
Ayrıca, Neo_Net, suç faaliyetlerini kompromize edilen kurban verilerini ilgilenen üçüncü taraflara satmak suretiyle daha da paraya dönüştürdü.
SentinelOne, “Kampanyalarının başarısı, operasyonlarının oldukça hedef odaklı olmasına bağlanabilir ve genellikle bir bankaya odaklanıp, banka yetkililerini taklit etmek için iletişimlerini kopyalarlar.” dedi.
“Ayrıca, SMS casus yazılımının basitliği nedeniyle tespit etmesi zor olabilir, çünkü yalnızca SMS mesajlarını gönderme ve görme izni gerektirir.”
SentinelOne’ın belirttiğine göre, bu kampanyalar, SMS’ye dayanan çok faktörlü kimlik doğrulamanın (MFA) zayıflığını vurgulayarak, daha güçlü koruma önlemleri gerektiğini ve fiziksel belirteçler veya harici uygulamalar gibi daha sağlam korumaların sağlanması gerektiğini göstermektedir.
