DarkSword saldırısı iOS ve Android cihazları hedef aldı

DarkSword adı verilen saldırı, iPhone ve Android telefon kullanan kişileri hedef alan bir web saldırısı olarak ortaya çıktı. Araştırmacıların aktardığı bilgilere göre saldırganlar, daha önce giderilmiş işletim sistemi açıklarından yararlanarak hedef siteleri ziyaret eden cihazlara zararlı yazılım ulaştırmaya çalıştı. Bu nedenle risk, yalnızca şüpheli bir uygulamayı indirip çalıştıran kullanıcılarla sınırlı değil; ele geçirilmiş ya da taklit edilmiş bir web sayfasını açmak da saldırı zincirinin başlangıcı olabiliyor.

İncelenen açıkların yamalanmış olması, telefonunu güncel tutan kullanıcılar açısından temel koruma katmanını oluşturuyor. Buna karşılık eski yazılım sürümlerinde kalan cihazlar, saldırganların kullandığı açıklara karşı savunmasız olabilir. DarkSword vakası, mobil güvenliğin yalnızca uygulama mağazalarından indirilen yazılımlara değil, işletim sistemi güncellemelerine ve ziyaret edilen sitelere de bağlı olduğunu gösteriyor.

Saldırı, ziyaret edilen site üzerinden başlıyor

Aktarılan teknik akışta kullanıcı hedeflenen bir siteyi açtığında sayfaya eklenmiş JavaScript kodu devreye giriyor. Kod önce cihazın özelliklerini belirlemeye çalışıyor. Ardından iOS veya Android kullanımına göre farklı bir zararlı yazılım yükü seçiliyor. Yani saldırganlar her telefona aynı dosyayı göndermek yerine, cihazın platformuna uygun bir yöntem kullanıyor.

Zararlı yazılımın başlıca hedefleri arasında tarayıcı çerezleri bulunuyor. Bazı senaryolarda Wi-Fi parolaları ve cihazda saklanan mobil veriler de hedef alınabiliyor. Ancak her cihazda hangi bilgilerin ele geçirilmeye çalışıldığı aynı değil; kullanılan yük ve hedef platforma göre değişiklik gösteriyor. Çerezlerin çalınması, kullanıcının çevrim içi oturumlarıyla ilgili bilgileri riske atabilir. Wi-Fi parolaları ve diğer cihaz verileri ise saldırganlara daha geniş bir erişim alanı sağlayabilir.

Bu yöntem, internet kullanıcılarının bir sayfanın görünüşüne bakarak onun güvenli olup olmadığını anlamasını zorlaştırıyor. Saldırganlar, gerçek bir siteyi taklit edebildiği gibi sitenin trafiğine zararlı kod da ekleyebiliyor. Dolayısıyla bilinen bir adresin benzerini kullanmak veya gerçek sayfanın içeriğini arka planda kopyalamak, ziyaretçinin sahte sayfayı fark etmesini güçleştiriyor.

Taklit edilen adreslerden biri America250 oldu

DarkSword operasyonunda adı geçen örneklerden biri america250.org. Bu siteyi taklit etmek için america250[.]holiday alan adı kullanıldı. Sahte adres, gerçek sitedeki içeriği aktaran bir ters proxy gibi çalıştı ve sayfaya zararlı JavaScript kodu eklendi. Böylece ziyaretçiler, gerçek siteye benzeyen bir içerikle karşılaşabildi.

Hedeflerin yalnızca bu adresle sınırlı olmadığı, potansiyel olarak yüzlerce sitenin saldırı zincirinde yer alabileceği belirtiliyor. Listede, çoğunlukla Rusya’nın Ukrayna’ya karşı sürdürdüğü savaşla bağlantılı siteler de bulunuyor. Bu çeşitlilik, saldırının tek bir kurum ya da web sayfasına yönelik olmadığını ortaya koyuyor; ancak kaynaklarda hedeflenen sitelerin tamamı açıklanmıyor.

Araştırmacılar, saldırganların Rusya Dış İstihbarat Servisi’nin parçası olabileceğini orta ile yüksek güven düzeyinde değerlendiriyor. Bu ifade kesinleşmiş bir atıf değil, araştırmacıların mevcut bulgulara dayanan değerlendirmesi. Bu nedenle operasyonun arkasındaki aktör hakkında kesin hüküm vermek yerine, bağlantı iddiasının bir güven seviyesiyle paylaşıldığını göz önünde bulundurmak gerekiyor.

Güncellemeler bilinen açıklara karşı koruma sağlıyor

DarkSword’da kullanıldığı bildirilen iOS ve Android açıkları daha önce yamalandı. Bu, işletim sistemini güncel tutmanın saldırıya karşı doğrudan önem taşıdığı anlamına geliyor. Güncellemeleri erteleyen cihazlar, ilgili güvenlik düzeltmelerini almadığı için daha yüksek risk altında kalabilir. Kullanıcıların telefonlarında sunulan sistem güncellemelerini kontrol etmesi ve yüklenebilir güvenlik yamalarını geciktirmemesi bu açıdan önem taşıyor.

Yine de güncel yazılım kullanmak, her türlü çevrim içi tehdide karşı mutlak koruma sağlamaz. Bu olayda saldırı, güvenilir görünen bir sayfanın taklit edilmesi veya ele geçirilmesi üzerinden ilerleyebiliyor. Kullanıcıların benzer alan adlarına karşı dikkatli olması ve hassas bilgilerini beklenmedik sayfalara girmemesi de korunmanın diğer parçaları arasında yer alıyor. DarkSword’un ortaya koyduğu temel fark, mobil cihaz güvenliğinin hem güncel yazılıma hem de web trafiğinin güvenilirliğine bağlı olması.