Tambir , ilk olarak Ekim 2023’te keşfedilen bir casus yazılım uygulaması ve Android kullanıcılarını hedef almak üzere sosyal mühendislik taktiklerini kullanıyor. Bir IPTV uygulamasının reklamsız sürümü şeklinde gizlenen Tambir, SMS mesajları, kişiler ve yüklü uygulamaların listesi dahil olmak üzere kurbanın cihazından hassas bilgiler toplayabiliyor.
Dahası, Tambir tuş vuruşu kaydedici, Sanal Ağ Hesaplama (VNC) oturumları başlatma ve rastgele SMS mesajları gönderme gibi yeteneklerle donatılmış olup siber suçluların virüs bulaşmış cihaza uzaktan erişimini sağlıyor.
Tambir IPTV uygulaması görünümü altında dağıtılsa da taklit ettiği platformla ilgili herhangi bir yasal işlevsellik içermiyor. Uygulama, bulaştığı cihazın sahibini erişilebilirlik izinleri vermeye ikna ederek cihaza uzaktan erişim elde ediyor. Uygulamanın erişilebilirlik hizmetinin etkin olması durumunda, gerekli tüm izinler otomatik olarak alınıyor. Kötü amaçlı yazılım gerekli tüm izinleri aldıktan ve erişilebilirlik hizmetini etkinleştirdikten sonra uygulama simgesini şüpheli görünmemesi için YouTube simgesi şeklinde değiştiriyor.
Yazılım, WebSocket protokolü üzerinden iletişim kurarak Telegram, ICQ sohbet davetleri ve Twitter profil biyografileri gibi meşru platformlardan şifrelenmiş Komuta ve Kontrol (C2) sunucu adreslerini alıyor. Tambir, komuta kontrol sunucusundan alınan 30’dan fazla komutu destekliyor. Hedef konumundaki benzerlikler ve C2 iletişimi için Telegram kullanması, bölgedeki ilk üç mobil kötü amaçlı yazılımı arasında yer alan GodFather kötü amaçlı yazılımıyla benzerlik gösteriyor.
