Üretken Yapay Zekâ Destekli Android Tehditlerinin Yeni Dönemi Başladı

ESET güvenlik şirketi, üretken yapay zekâ kullanarak kalıcılık sağlayan ve yürütme sürecinde benzersiz bir yöntemle faaliyet gösteren Android kötü amaçlı yazılımı PromptSpy’ı tespit etti. Bu zararlı yazılım, kullanıcı arayüzü manipülasyonunu yönlendirmek amacıyla Google’ın Gemini yapay zekâ modelini kötü niyetli biçimde kullanmaktadır.

Kötü Amaçlı Yazılımın Özellikleri ve Hedefleri

PromptSpy, cihazdaki kilit ekranı bilgilerini yakalama kabiliyetine sahip olup, kaldırma çabalarını engellemektedir. Ayrıca sistem bilgilerini toplayabilmekte, ekran görüntüleri çekebilmekte ve ekran etkinliğini video olarak kaydedebilmektedir. ESET araştırmacıları, bu zararlının, Ağustos 2025’te keşfedilen yapay zekâ destekli fidye yazılımı PromptLock’un ardından ikinci yapay zekâ tabanlı kötü amaçlı yazılım olduğunu belirtti. Dil kullanımı ve dağıtım yöntemleri göz önünde bulundurulduğunda PromptSpy’ın öncelikli hedefinin Arjantin’deki finansal sektör kullanıcıları olduğu düşünülmektedir. Ancak şu ana kadar ESET telemetri sisteminde PromptSpy’a rastlanmamıştır; bu da zararlının henüz kavramsal aşamada olduğunu göstermektedir.

Yapay Zekâ Entegrasyonu ve Kaldırma Önlemleri

PromptSpy’ın kodunun kalıcılığı sağlayan bölümünde yapay zekâ kullanımı öne çıkmaktadır. Gemini modeli, zararlı uygulamanın Android çoklu görev görünümünde kilitlenmesine yönelik talimatlar vermek için devreye alınmıştır. Böylece uygulamanın sistem tarafından kolayca sonlandırılması önlenmektedir. Yapay zekâ ve ilgili komutlar kod içinde sabitlenmiş olup değiştirilmesi mümkün değildir. PromptSpy, yerleşik VNC modülü ile uzaktan erişim sağlamakta ve Android Erişilebilirlik Hizmetlerini kullanarak görünmez katmanlarla kaldırılma girişimlerini engellemektedir. İletişim esnasında AES şifrelemesi kullanılmaktadır.

Distribütörler tarafından özel web siteleri üzerinden yayılan PromptSpy, Google Play platformunda bulunmamaktadır. ESET tarafından yapılan bildirim sonrası Google ile paylaşılmıştır. Google Play Protect, Play Hizmetleri bulunan cihazlarda zararlının bilinen sürümlerine karşı otomatik koruma sağlamaktadır. Uygulamanın Morgan Chase bankasını taklit eden ‘MorganArg’ adı ve simgesi, zararlının finansal odağını göstermektedir. Zararlı yazılım, kaldırmaya karşı koymak için ekranda görünmez öğeler kullanmakta, cihazı Güvenli Modda başlatmak ve oradan kaldırmak gerekmektedir.

Kaynak: BYZHA