Sahte IPTV Güncellemesi Banka Bilgilerini Tehdit Ediyor

Android işletim sistemine sahip cihazlarda, IPTV uygulaması güncellemesi kılığına giren tehlikeli bir dosya, kullanıcıların banka uygulamalarına müdahale ederek PIN kodu ve mobil bankacılık şifrelerini ele geçirmeye çalışıyor. Siber güvenlik firması ESET, Türkiye'nin Android tabanlı tehditlerin yoğun görüldüğü ülkeler arasında yer aldığını vurgulayarak, resmi uygulama mağazaları dışından yüklenen uygulamaların talep ettiği izinler konusunda kullanıcıları dikkatli olmaya çağırıyor.

RemControl Tehdidi ve Yayılımı

Group-IB tarafından tespit edilen RemControl adlı Android truva atı, TVTap isimli bir IPTV uygulamasının sahte güncellemesi olarak sunulan bir APK dosyası aracılığıyla yayılıyor. Group-IB'nin 23 Eylül'de yayımladığı analize göre, kullanıcılar bir uygulama güncellemesi yaptığını düşünürken, aslında telefonlarına RemControl yerleşiyor. Bu zararlı yazılım, Android'in Erişilebilirlik hizmetini kötüye kullanarak, banka uygulamalarının üzerine sahte giriş ekranları bindiriyor. Bu ekranlar aracılığıyla PIN kodu, mobil bankacılık parolası ve kredi kartı son kullanma tarihi gibi hassas bilgiler elde edilmeye çalışılıyor.

Şu an için RemControl'ün hedef listesinde Türk bankaları bulunmuyor; saldırı kampanyası ağırlıklı olarak İtalya, Fransa, İspanya, Polonya, Portekiz, Kanada ve Körfez ülkelerindeki bankaları hedef alıyor. Ancak saldırganlar, hedef listesini ve sahte ekranları sunucularından yönettiği için, Türkiye'deki bankaları hedef listesine eklemek, yeni bir yazılım kurulumunu değil, yalnızca sunucu tarafında yapılacak bir ayar değişikliğini gerektiriyor.

Türkiye Android Tehditlerinde Önde

ESET'in 2026 yılı ilk yarısı Tehdit Raporu'na göre, Türkiye, Aralık 2025 ile Mayıs 2026 tarihleri arasında Android tehditlerinin en yoğun yaşandığı ülkeler arasında Ukrayna ile birlikte üst sıralarda yer aldı. Aynı dönemde en sık karşılaşılan Android tehdidi, %14,7'lik oranla Android/TrojanDropper.Agent olurken, banka bilgilerini hedef alan Android/Spy.Banker ailesi %4,3'lük payla altıncı sırada yer aldı. Google Trends verileri, “iptv apk” teriminin Türkiye'de yıl boyunca yoğun bir şekilde arandığını gösteriyor. Bu durum, resmi mağaza dışından uygulama indirme alışkanlığının Türkiye için önemli bir güvenlik riski taşıdığını ortaya koyuyor.

Saldırganlar, RemControl kampanyasında gerçek TVTap uygulamasını manipüle etmiyor; bunun yerine uygulamanın güncellemesi gibi görünen sahte bir APK dosyası hazırlıyor. Kullanıcıların aşina oldukları bir uygulamanın güncellemesiyle karşı karşıya olduklarını düşünmeleri, zararlı yazılımın kolayca kurulmasına olanak tanıyor. Sahte indirme sayfaları genellikle Google Play'in kopyası gibi tasarlanıyor ve Meta'nın reklam altyapısı üzerinden ziyaretçi çekiliyor. Ancak TVTap, Google Play'de bulunmadığı için, bu uygulamayı sunan Google Play görünümlü bir sayfa, başlı başına sahte olduğunun göstergesidir. Kurulum esnasında telefonun kendi güvenlik taraması olan Google Play Protect devre dışı bırakılıyor ve ardından zararlı yazılım, Erişilebilirlik hizmeti için izin talep ediyor.

Erişilebilirlik İzni ve Güvenlik İpuçları

Android'in Erişilebilirlik hizmeti, özellikle görme veya hareket kısıtlılığı olan kullanıcılar için tasarlanmış bir özelliktir. Ancak bu izni alan bir uygulama, ekrandaki her öğeyi okuyabilir ve kullanıcı adına işlem yapabilir. RemControl, bu izni aldıktan sonra hangi uygulamanın açık olduğunu izler ve hedef listesindeki bir banka uygulaması açıldığında, bankanın gerçek ekranının üzerine sahte bir giriş sayfası getirir. Kullanıcıdan istenen bilgiler (PIN kodu, mobil bankacılık parolası, kartın son kullanma tarihi) saldırgana gönderildikten sonra sahte ekran kapanır ve gerçek banka uygulaması tekrar görünür.

ESET Türkiye Ürün ve Pazarlama Müdürü Can Erginkurban, “Bir uygulamanın tehlikeli olup olmadığı, nereden indirildiğinden çok kurulduktan sonra ne istediğinden anlaşılıyor. Meşru bir yayın uygulamasının ekranınızı okumasına ya da sizin yerinize dokunmasına ihtiyacı yok. Bir TV uygulaması Erişilebilirlik izni istiyorsa kurulumu orada durdurmak bankadaki paranızı korumanın en kısa yolu” şeklinde konuştu. En güvenli yöntem, yayın hizmetlerinin yalnızca resmi uygulama mağazalarındaki versiyonlarını kullanmaktır. Mağaza dışından indirilen uygulamalar hem güvenlik hem de yasal açıdan risk taşır.

Mağaza dışından IPTV uygulaması veya güncellemesi indirirken dikkat edilmesi gereken dört önemli nokta bulunmaktadır:

• Sahte İndirme Sayfaları: Google Play görünümündeki bir web sayfası, gerçek bir uygulama mağazası olduğu anlamına gelmez. Özellikle Google Play'de bulunmayan bir uygulamayı sunan bu tür sayfaların adres çubuğundaki alan adı dikkatle kontrol edilmelidir.
• Bilinmeyen Kaynaklardan Uygulama Yükleme: Bir TV uygulamasının güncellemesi adı altında başka bir uygulamanın kurulumu için izin isteniyorsa işlem durdurulmalıdır.
• VPN Bağlantısı İsteği: Yayın izlemek için kullanılan bir uygulamanın VPN bağlantısı kurmak istemesi şüphe uyandırmalıdır.
• Erişilebilirlik İzni: Meşru bir IPTV oynatıcısının ekranı okuması veya kullanıcı adına dokunması için geçerli bir nedeni yoktur. Bu tür bir izin isteniyorsa uygulama kurulumu tamamlanmamalıdır. Eğer izin zaten verilmişse, cihaz bankacılık işlemleri için kullanılmamalı ve banka başka bir telefon aracılığıyla aranarak durum bildirilmelidir.

RemControl'ün bazı ayar ekranlarını kapatabilmesi nedeniyle, zararlı uygulamanın kaldırılması güvenli modda yapılmalıdır. Güvenli modda yalnızca telefonla birlikte gelen uygulamalar çalıştığı için zararlı yazılımın ekrana müdahalesi engellenebilir. Bu işlem için telefon kapatılıp yeniden açılırken üretici logosu göründüğünde ses kısma tuşu, ekranın alt köşesinde “Güvenli mod” yazısı belirene kadar basılı tutulabilir. Ardından tanınmayan uygulama kaldırılmalı ve telefon normal şekilde yeniden başlatılmalıdır. Kaldırma işlemi mümkün olmazsa son çare olarak fabrika ayarlarına dönülmesi önerilir.