Hackerlar Güvenilir İnternet Sitelerini iPhone Casus Yazılım Tuzağına Dönüştürüyor
Siber güvenlik araştırmacıları, Instagram reklamları ile binlerce internet sitesini kullanarak iPhone cihazlarına kullanıcı etkileşimi olmadan casus yazılım bulaştıran saldırılar tespit etti. DarkSword ve Coruna istismar araçlarıyla ilişkilendirilen kampanyalarda saldırganlar, cihazlardaki güvenlik açıklarından yararlanarak hesap bilgilerini ve kripto para varlıklarını hedef aldı. Bulgular, şüpheli bağlantılara tıklamayan kullanıcıların da güncel olmayan yazılımlar veya zararlı reklam bileşenleri üzerinden saldırılara maruz kalabileceğini gösteriyor.
Instagram Reklamları iPhone Cihazlarına Casus Yazılım Bulaştırıyor
Siber güvenlik şirketi iVerify araştırmacılarının incelediği olayda, bir finans kuruluşunda çalışan kişinin iPhone cihazına Instagram’da futbol temalı bir reklamı görüntülediği sırada casus yazılım bulaştı. Saldırının gerçekleşmesi için kullanıcının reklam bağlantısına tıklaması veya herhangi bir dosya indirmesi gerekmedi.
Saldırganlar, reklam içeriği yüklenirken otomatik çalışan zararlı kod üzerinden cihazı hedef aldı. Kod, öncelikle iPhone’un işletim sistemi sürümünü kontrol etti, ardından güvenlik açığı bulunan cihazlarda istismar sürecini başlattı. iVerify, olayda kullanılan zararlı yazılımı DarkSword olarak adlandırdı.
Saldırının hedefleri arasında kullanıcı hesaplarına ait bilgiler ile kripto para cüzdanları yer aldı. Bu yöntem, saldırganların yalnızca kullanıcıları sahte giriş sayfalarına yönlendirmek yerine doğrudan cihazın güvenlik açıklarından yararlanabildiğini ortaya koydu.
Report URI araştırmacıları, yaklaşık 8 bin internet sitesini etkileyen ayrı bir saldırı kampanyasını ortaya çıkardı. Saldırganlar, daha önce sohbet botları ve analiz hizmetleri gibi çevrim içi araçlarda kullanılmış yaklaşık 630 alan adını satın aldıktan sonra bu adresleri zararlı kod dağıtmak için kullandı.
Süresi dolan alan adlarının yeniden satın alınması, geçmişte bu adreslere güvenerek oluşturulmuş internet siteleri açısından yeni bir güvenlik riski doğurdu. Söz konusu alan adlarından kod yüklemeyi sürdüren siteler, ziyaretçileri farkında olmadan saldırganların hazırladığı tuzaklara yönlendirebildi.
Report URI tarafından ortaya çıkarılan DeadTag kampanyasında kullanılan istismar aracı Coruna olarak adlandırıldı. Kampanyanın temel hedefleri arasında cihazlardan hesap bilgilerini toplamak ve kripto para varlıklarına erişim sağlamak yer aldı.
Bu saldırı yöntemi, yalnızca şüpheli internet sitelerinden uzak durmanın yeterli bir koruma sağlamadığını gösteriyor. Daha önce güvenilir kabul edilen bir sitenin yüklediği üçüncü taraf bileşenler veya yeniden kullanılan alan adları, cihazlarda güvenlik açığı bulunması durumunda saldırı zincirinin parçası haline gelebiliyor.
DarkSword ve Coruna ile ilişkilendirilen kampanyalar, kullanıcı etkileşimi gerektirmeyen saldırı yöntemleri arasında değerlendiriliyor. Geleneksel oltalama saldırılarında kullanıcıların sahte bağlantılara tıklaması veya zararlı dosyaları açması beklenirken, bu olaylarda reklam ya da internet sitesi içeriğinin yüklenmesi saldırının başlaması için yeterli olabiliyor.
Saldırganlar, hedef cihazın işletim sistemi sürümünü kontrol ederek bilinen güvenlik açıklarından etkilenebilecek iPhone modellerini belirleyebiliyor. Böylece saldırı kodu, uygun koşulları karşılayan cihazlarda istismar sürecini başlatabiliyor.
Bu yaklaşım, mobil cihaz güvenliğinde yazılım güncellemelerinin önemini artırıyor. Güncel güvenlik yamalarını almayan cihazlar, kullanıcıların şüpheli bir davranışta bulunmasına gerek kalmadan saldırılara açık hale gelebiliyor. Ancak her reklamın veya güvenilir internet sitesinin bu tür saldırılarla ilişkili olduğu anlamı çıkarılmamalı; risk, belirli kampanyalarda kullanılan zararlı kodlar ve istismar edilen güvenlik açıklarıyla bağlantılı bulunuyor.
Casus yazılımlar geçmişte siyasetçiler, gazeteciler ve diğer yüksek profilli kişilere yönelik operasyonlarla gündeme gelirken, son örnekler finansal kazanç arayan siber suçluların da benzer tekniklerden yararlandığını gösteriyor. Hesap bilgilerinin ele geçirilmesi ve kripto para cüzdanlarının hedef alınması, saldırganların doğrudan ekonomik kazanç sağlamaya odaklandığına işaret ediyor.
iVerify, önceki dönemde ABD ve Avrupa Birliği’ndeki iPhone kullanıcılarını hedef alan bir kampanyaya ilişkin bulgular da paylaşmıştı. Toronto Üniversitesi bünyesindeki Citizen Lab araştırmacıları ise geçen hafta Al Jazeera’ya ait en az 45 cihazın reklamlar üzerinden yayılan ve kullanıcı etkileşimi gerektirmeyen bir casus yazılım saldırısının hedefi olduğunu doğruladı.
iVerify kurucu ortağı Rocky Cole, casus yazılımların mobil cihazlar için hızla büyüyen tehditlerden biri haline geldiğini belirtti. Report URI CEO’su Scott Helme de son saldırıların arkasındaki grupların Çin bağlantılı olabileceğini ifade etti; ancak mevcut bulgular saldırganların kimliğini kesin biçimde ortaya koymuyor.
iPhone kullanıcılarının işletim sistemlerini güncel tutması, güvenlik güncellemelerini geciktirmemesi ve hesaplarında çok faktörlü kimlik doğrulamayı etkinleştirmesi riskleri azaltmaya yardımcı oluyor. Kullanıcıların güvenilir görünen reklamları veya siteleri tek başına güvenlik göstergesi olarak değerlendirmemesi, mobil cihazların korunması açısından önem taşıyor.
