Android’i Saran "Manic" Virüsü Ezberleri Bozdu!

Nazenin Yazar

📅 21.08.2026 23:10 👁 42 görüntülenme

Siber Güvenlik

Google'da tercih edilen kaynak olarak As Bilişim ekleyin

Siber güvenlik şirketi ThreatFabric araştırmacıları, Android ekosistemini sarsan ve mobil zararlı yazılım mimarisinde çığır açan sinsi bir tehdidi açığa çıkardı. "Manic" adı verilen bu yeni nesil hibrit kötü amaçlı yazılım, bankacılık trojanı (truva atı) ile gelişmiş casus yazılım (spyware) özelliklerini tek bir potada eritiyor. En dikkat çekici ve tehlikeli teknik özelliği ise kurbanın telefonu tamamen çevrimdışı (internet bağlantısı yok) olsa dahi, radyo menzilindeki diğer virüslü cihazları köprü (röle) olarak kullanarak çalınan verileri korsanlara sızdırabilmesi.

Android'de "Mesh Network" Kullanan İlk Zararlı: İnternetiniz Olmasa Bile Veri Çalan "Manic" Keşfedildi!

Mobil siber güvenlik dünyası, bugüne kadar görülmemiş sıra dışı bir siber casusluk tehdidiyle karşı karşıya. Güvenlik şirketi ThreatFabric'in Mobil Tehdit İstihbaratı (MTI) ekibi, Şubat 2026'dan beri aktif olarak geliştirilen ve Temmuz-Ağustos 2026 döneminde en agresif sürümüne ulaşan "Manic" adlı Android zararlısını belgeledi.

Başta Ukrayna olmak üzere Almanya, Fransa, Polonya, İspanya ve İngiltere gibi birçok Avrupa ülkesindeki 169 farklı mobil uygulamayı (bankalar, kripto cüzdanlar, e-devlet/eID sistemleri, askeri ve ticari mesajlaşma servisleri) doğrudan hedef alan Manic, geleneksel siber savunma yöntemlerini tamamen işlevsiz bırakıyor.

📡 Devrimsel Teknik Özellik: Çevrimdışı (Offline) Veri Sızıntısı

Geleneksel kötü amaçlı yazılımlar, çalınan şifreleri veya dosyaları doğrudan saldırganın Komuta Kontrol (C2) sunucusuna göndermek için cihazın aktif bir internet bağlantısına (Wi-Fi veya Hücresel Veri) ihtiyaç duyar. Telefon uçak moduna alındığında ya da internet kesildiğinde sızıntı durur. Ancak Manic bu bariyeri yerel bir "Mesh Ağı" kurarak aşıyor:

Yerel Tarama ve Kuyruğa Alma: İnterneti kesilen enfekte cihaz, topladığı verileri AES-GCM algoritmasıyla şifreleyerek yerel bir veri kuyruğuna (queue) alır.
Radyo Dalgalarıyla Eş Arama: Cihaz arka planda gizlice Wi-Fi Direct, Klasik Bluetooth ve Bluetooth Low Energy (BLE) protokollerini aktif ederek radyo menzili (yaklaşık 10-30 metre) içerisinde "Manic" bulaşmış başka bir Android cihaz arar.
Çoklu Sıçrama (Multi-Hop Relay): Eğer internete bağlı enfekte bir "eş cihaz" (peer) bulunursa, şifreli veri paketi o cihaza aktarılır ve onun interneti üzerinden C2 sunucusuna sızdırılır. Manic, bu aktarım zincirini varsayılan olarak 4 sıçramaya (4 relay hops) kadar uzatabilir. Yani interneti olmayan bir telefondaki veri, sokaktaki 4 farklı yabancının enfekte telefonu üzerinden sekerek korsanlara ulaşabilir.

🛠️ PIN Hırsızlığında Yeni Yöntem: Şeffaf Katman Saldırısı

Manic, eski nesil bankacılık virüslerinin aksine kullanıcının şüphelenmesine neden olan kaba "sahte arayüz (overlay)" ekranları fırlatmıyor. Bunun yerine, hedef listedeki 169 uygulamadan biri açıldığında ve ekranda sayısal bir tuş takımı belirdiğinde devreye giriyor:

Görünmez Tuş Takımı: Zararlı yazılım, uygulamanın orijinal tuş takımının tam üzerine %100 şeffaf (invisible) bir dokunmatik katman yerleştirir.
Aynı Anda Hem Çalma Hem İletme: Kullanıcı şifresini girmek için ekrana dokunduğunda, Manic dokunulan koordinatları hafızaya kaydeder. Milisaniyeler içinde kendi katmanını askıya alarak dokunma eylemini Android'in Erişilebilirlik Hizmetleri (Accessibility Services) aracılığıyla orijinal uygulamaya aynen iletir.
Kullanıcı hiçbir gecikme veya hata yaşamadan bankaya giriş yaparken, PIN kodu, tek kullanımlık SMS onay kodu veya kripto cüzdan kurtarma kelimeleri çoktan siber korsanların eline geçmiş olur.

🕵️‍♂️ Gizlenme ve Kendini Koruma Mekanizmaları

Tehdit aktörleri, Manic'in tespit edilmesini zorlaştırmak için gelişmiş anti-analiz süreçleri entegre etmiş durumda:

Sistem Dosyası Maskesi: Virüs sisteme kurulurken kendini gizlemek için tech.apple.dialer.scheduler, org.lenovo.storage.processor veya dev.huawei.media.helper gibi büyük teknoloji üreticilerinin resmi sistem bileşenleriymiş gibi isimlendiriyor.
Menüden Silinme: Temmuz 2026 güncellemesiyle birlikte, kurulum tamamlandığı an zararlı yazılım kendi ikonunu Uygulama Çekmecesinden (Launcher) tamamen siliyor. Kullanıcı telefonunda böyle bir uygulamanın varlığını harici olarak göremiyor.
Play Protect'i Devre Dışı Bırakma: Arka planda Erişilebilirlik Hizmetleri'nin otomatik tıklama (UI Automation) yeteneklerini kullanarak Google Play Protect korumasını kendi kendine kapatmaya çalışıyor.

🛡️ Android Kullanıcıları Kendini Nasıl Korumalı?

Siber güvenlik uzmanları, Manic ve benzeri gelişmiş Cihaz Ele Geçirme (Device Takeover - DTO) yazılımlarından korunmak için şu kritik adımların atılmasını öneriyor:

Güvenilmeyen Kaynaklardan APK İndirmeyin: Manic genellikle resmi mağaza dışındaki web sitelerinden indirilen korsan oyunlar veya sahte sistem güncellemeleri (wrapper) aracılığıyla yayılıyor.
Erişilebilirlik İzinlerini Denetleyin: Telefonunuzun Ayarlar > Erişilebilirlik menüsüne giderek, bilmediğiniz veya işleviyle alakasız uygulamalara verilmiş Erişilebilirlik (Accessibility) ve Bildirim Erişimi izinlerini derhal iptal edin.
Sistem Paketlerini Kontrol Edin: Cihazınızın uygulamalar listesinde yukarıda teknik kodları verilen (org.lenovo..., tech.intel...) şüpheli paket adları olup olmadığını manuel olarak gözden geçirin.