Mobil güvenlik firması Zimperium'un araştırma ekibi zLabs, 12 Kasım 2026'da yayımladığı analizde «ArcticRAT» adını verdiği Android zararlısını inceledi. Sahte Google Play indirme sayfalarıyla yayılan zararlı yazılım, ele geçirdiği telefondaki SMS mesajlarını dışarıdan çağırdığı xAI uygulama programlama arayüzü (API) üzerinden Grok modeline okutarak tek kullanımlık doğrulama kodlarını (OTP), bakiye değişikliklerini ve para transferi bildirimlerini otomatik ayıklıyor.
Başlangıçta 11 kripto para uygulamasının kullanıcılarını hedef alan bir casus yazılım olarak ortaya çıkan ArcticRAT, zamanla modüler bir uzaktan erişim truva atına (RAT, cihazı uzaktan yönetmeyi sağlayan zararlı yazılım) dönüştü. Zararlıya verilen ad, erken örneklerde tespit edilen «net.iceflow.arcticlink» ve «net.frostlink.iceforge» paket adlarından geliyor.
Yapay zekâ SMS'leri nasıl ayıklıyor
Zararlının en dikkat çekici özelliği yapay zekâ entegrasyonu olarak öne çıkıyor. Komuta-kontrol (C2) sunucusu cihaza «<xAI_API>» komutuyla bir API anahtarı iletiyor; ArcticRAT da herhangi bir dış istemci gibi xAI API'sini çağırarak Zimperium'un dinamik analizinde görülen «grok-4.20-0309-non-reasoning» modeline iki gömülü istem gönderiyor. Araştırmada xAI veya Grok altyapısının ele geçirildiğine ya da saldırıya dahil olduğuna dair bir bulgu yok; zararlı yalnızca dış API hizmetini kullanıyor.
Modele gönderilen birinci istem, cihazda yüklü uygulamalar arasından bankacılık, kripto para ve alım-satım uygulamalarını seçiyor. İkinci istem ise çalınan SMS'lerdeki reklam içeriklerini atlayıp tek kullanımlık doğrulama kodlarını (OTP), bakiye değişikliklerini ve para transferi bildirimlerini çıkarıyor; ayrıca kurbanın mali durumunu tahmin ederek çıktıyı yapılandırılmış JSON biçiminde döndürüyor.
Dönen yapay zekâ yanıtları telefonda «/storage/emulated/0/config/AI_DATA/» klasöründe saklanıyor ve C2 sunucusundan «<Get_AI_ANA_Data>» komutu geldiğinde saldırgana gönderiliyor. Zimperium, yapay zekâ entegrasyonunun ilk kez 2026 Temmuz ortasındaki örneklerde görüldüğünü kaydediyor ve bu yapıyı RatHat adlı başka bir zararlıdaki gelişmeye benzetiyor.
Telefona nasıl bulaşıyor
Kurbanlar kötü amaçlı reklam (malvertising), SMS oltalaması (smishing) veya üçüncü taraf forumlar üzerinden zararlı internet sitelerine yönlendiriliyor. Ana bulaşma yönteminde Google Play mağazasını birebir taklit eden sahte bir indirme sayfası kullanılıyor; bazı yüklerin ise doğrudan Amazon Web Services (AWS) depolama kovalarından dağıtıldığı görülüyor. Taklit edilen uygulamalar arasında Amazon, dosya yöneticileri, TikTok ve popüler kripto para uygulamaları bulunuyor.
Siber Güvenlik Haber, benzer bir Android banka truva atını daha önce RemControl dosyasında ele almıştı. ArcticRAT kurulum aşamasında güvenlik denetimlerini devre dışı bırakmaya odaklanıyor. Yükleyici (dropper) önce kullanıcıdan VPN izni isteyip telefonun ağ trafiğini geçici olarak boşa yönlendiriyor. Zimperium'a göre bu adım, kurulum sırasında Google Play Protect telemetrisini kör etmeyi amaçlıyor. Zararlı sahte bir kurulum ekranı göstererek asıl yükü (payload) kuruyor ve ardından VPN bağlantısını kapatıyor.
Ele geçirilen telefonda neler yapabiliyor
Kullanıcı Erişilebilirlik (Accessibility) iznini verdiğinde ArcticRAT; gizli VNC (HVNC) ile telefonun tam uzaktan kontrolünü sağlıyor, ekran görüntüsü alıyor, mikrofonu canlı dinliyor, konum takibi yapıyor, bildirimleri okuyor ve rehberi çekiyor. Bunun yanında kullanıcıdan habersiz SMS gönderebiliyor, arama ve USSD kodu başlatabiliyor, giriş alanlarına yazılan kimlik bilgilerini ve doğrulama kodlarını okuyabiliyor.
Saldırgan HVNC üzerinden bankacılık uygulamalarında gezinirken veya izinleri kendiliğinden onaylarken «siyah ekran» hilesi devreye giriyor. Zararlı, ekranın üstüne kapatılamayan simsiyah bir katman çiziyor ve ekran parlaklığını sıfıra indiriyor; bu sırada kurban telefonunu kilitli ya da kapalı sanıyor.
ArcticRAT ayrıca sahte desen veya PIN kilit ekranı göstererek cihazın kilit kodunu çalabiliyor, çalınan kodu arka planda sistem komutuyla doğrulayabiliyor ve isterse yeni bir kilit kodu belirleyip kurbanı kendi telefonundan kilitleyebiliyor. Zararlının son sürümleri, Android 11 ile gelen Kablosuz Hata Ayıklama (Wireless Debugging) özelliğini de kötüye kullanıyor.
Altyapı ve aktif geliştirme
zLabs ekibi araştırmada 42 yükleyici ve 36 asıl yük olmak üzere 78 benzersiz örnek tespit etti. Zararlının kontrol kodunda toplam 129 farklı komut kataloglandı; v6.3'ten v6.5.2'ye uzanan sürümler geliştirmenin sürdüğünü ortaya koyuyor.
C2 iletişimi ham TCP soketleriyle ve farklı görevler için ayrılan portlarla yürütülüyor: ana bağlantı 9999, HVNC 8888 ve mikrofon dinlemesi 5000 numaralı portu kullanıyor. Zimperium'a göre C2 IP adreslerinin yaklaşık üçte ikisi Hong Kong'da, yüzde 20'si ise Almanya'da yer alıyor. C2 sunucusu, kurbanın cihaz profiline göre hangi saldırı modülünü çalıştıracağını seçiyor. Zimperium, zararlıya ilişkin ele geçirme göstergelerini (IOC) GitHub'daki IOC deposunda yayımladı.
Kendinizi nasıl korursunuz
Doğrulama mesajlarının güvenliğini gündeme taşıyan SMS doğrulama kodlarının açıkta kaldığı Baltık olayı sonrasında, doğrudan cihaz üzerindeki mesajları hedef alan zararlılara karşı kaynak raporla tutarlı temel önlemler şöyle sıralanıyor:
- Uygulamaları yalnızca resmi Google Play mağazasından yükleyin; reklam veya SMS bağlantısıyla açılan «Google Play» sayfalarına güvenmeyin.
- Bilinmeyen kaynaklardan uygulama kurulumuna izin vermeyin.
- Bir uygulama Erişilebilirlik veya VPN izni istediğinde bu iznin nedenini sorgulayın.
- Geliştirici seçeneklerini ve Kablosuz Hata Ayıklama özelliğini kapalı tutun.
- Telefon kendiliğinden kararıp kilitlenmiş gibi davranırken bankanızdan beklenmeyen bir işlem bildirimi gelirse bankanızı arayın.
Bu haberde olmayanlar
Zimperium'un yayımladığı raporda mağdur sayısı, hedef ülke listesi, zararlının Türkiye'de görülüp görülmediği, herhangi bir Türk bankasının veya uygulamasının adı ve çalınan para miktarı yer almıyor. Saldırganın kimliği veya milliyeti, C2 altyapısındaki toplam IP sayısı ve Google'ın konuya ilişkin bir açıklaması da raporda bulunmuyor. Ayrıca xAI tarafından yapılmış bir açıklama veya kullanılan API anahtarlarının kapatılıp kapatılmadığına dair bir bilgiye ulaşılamadı.
Kaynaklar
Kapak görseli: Maurizio Pesce / Wikimedia Commons, CC BY 2.0 (Android maskot heykeli, 26 Şubat 2014; 16:9 kırpıldı, 1200x675).
Sık sorulan sorular
ArcticRAT nedir?
Zimperium araştırma ekibi zLabs'in 12 Kasım 2026'da yayımladığı ArcticRAT, sahte Google Play sayfalarıyla yayılan modüler bir Android uzaktan erişim truva atıdır. Zararlı, çaldığı SMS mesajlarını xAI API'si üzerinden Grok modeline okutarak tek kullanımlık doğrulama kodlarını ve banka hareketlerini ayıklar.
ArcticRAT Türkiye'de görüldü mü?
Zimperium'un araştırmasında hedef ülke listesi veya zararlının Türkiye'de görülüp görülmediğine ilişkin bir bilgi bulunmuyor. Raporda herhangi bir Türk bankası ya da yerli uygulama adı da yer almıyor.
Grok veya xAI ele geçirildi mi?
Hayır. Grok'un veya xAI altyapısının ele geçirildiğine ya da saldırıya ortak olduğuna dair bir bulgu yok; zararlı yazılım, komuta-kontrol sunucusundan aldığı anahtarla xAI API'sini dışarıdan çağırıyor.
ArcticRAT zararlısından nasıl korunurum?
Uygulamaları yalnızca resmi Google Play mağazasından yükleyin, reklam veya SMS bağlantısıyla gelen mağaza sayfalarına ve bilinmeyen kaynaklardan kuruluma izin vermeyin. Erişilebilirlik ve VPN izinlerini sorgulayın, Geliştirici seçenekleri ile Kablosuz Hata Ayıklama'yı kapalı tutun; ekran kendiliğinden karardığında beklenmeyen banka bildirimi gelirse bankanızı arayın.
.jpg){kind=link}