P7 DarkSword, güncellenmemiş iPhone’lar için yeni tehdit

iPhone kullanıcılarını hedef alan DarkSword casus yazılım zincirinin yeni bir varyantı tespit edildi. iVerify tarafından P7 DarkSword adı verilen sürüm, daha önce görülen örneklere kıyasla izlerini azaltıyor, cihaz üzerinde daha az işlem gerçekleştiriyor ve çalabileceği veri türlerini genişletiyor. Araştırmacılar, varyantı iki ay önce bir finans kuruluşu çalışanının iPhone’unda görülen enfeksiyonu incelerken keşfetti.

P7 DarkSword’un ortaya çıkması, güncel olmayan iOS sürümlerinin neden hızla kurulması gerektiğini bir kez daha gösteriyor. Apple daha önce DarkSword saldırı zinciriyle ilişkilendirilen açıkları kapatmak için eski iOS sürümlerine de güvenlik güncellemeleri yayımlamıştı. Buna iOS 15.8.7, iOS 16.7.15 ve iOS 18.7.7 sürümleri dahildi.

DarkSword daha geniş bir iOS aralığına ulaştı

Google ve iVerify, yılın başlarında iPhone’ları hedef alan Coruna ve DarkSword adlı iki gelişmiş saldırı aracını duyurmuştu. Bu araçlar, birden fazla iOS açığını zincirleyerek eski sistem sürümlerini kullanan cihazlara erişim sağlıyordu. Coruna, iOS 13 ile iOS 17.2.1 arasındaki sürümleri hedeflerken DarkSword’un ilk takip edilen örnekleri iOS 18.4 ile iOS 18.7 arasındaki cihazlarda etkiliydi.

Apple, DarkSword’a karşı koruma sağlamak amacıyla iOS 18.7.7’yi iOS 26’yı destekleyen cihazlara da sundu. Böylece en yeni ana sürüme geçmek istemeyen kullanıcıların da kritik güvenlik düzeltmelerini alması amaçlandı. Google’ın önceki değerlendirmesine göre DarkSword, ticari gözetim yazılımı sağlayıcılarıyla bağlantılı aktörler ve devlet destekli olduğundan şüphelenilen gruplar tarafından kullanılıyordu. Saldırıların Suudi Arabistan, Türkiye, Malezya ve Ukrayna’daki hedeflere yöneldiği gözlemlenmişti.

P7 varyantı verileri cihaz üzerinde işliyor

iVerify’nin raporuna göre P7 sürümü, önceki varyantlardan üç temel noktada ayrılıyor: daha az iz bırakma, daha kararlı çalışma ve daha geniş işlev seti. Zararlı yazılım, cihazdaki kayıtları azaltıyor ve gerçekleştirdiği işlem enjeksiyonlarının sayısını düşürüyor. Ayrıca aynı iPhone’un tekrar tekrar istismar edilmesini önlemek için tarayıcı depolama alanından yararlanıyor.

En ciddi değişikliklerden biri, iPhone’un Keychain verilerinin ele geçirilme biçiminde görülüyor. P7 DarkSword, tüm Keychain veritabanını başka bir yerde incelemek üzere kopyalamak yerine ilgili verileri doğrudan cihaz üzerinde çıkarabiliyor. Bu yaklaşım, saldırganların daha az veri taşımasına ve operasyonun daha az iz bırakmasına yardımcı olabilir. Varyant, kripto cüzdanlarına ait verileri de hedefleyebiliyor.

P7 ayrıca saldırganların altyapısıyla iki yönlü komuta ve kontrol iletişimi kurabiliyor. Bu yapı, zararlı yazılımın yalnızca veri gönderen pasif bir araç olmaktan çıkıp uzaktan komut alabilmesini mümkün kılıyor. iVerify, yeni sürümün davranışlarını temizleme ve gizleme konusunda önceki örneklere göre daha başarılı olduğunu belirtiyor. Bu nedenle eski DarkSword örnekleri için kullanılan bazı uzlaşma göstergeleri P7’yi tespit etmekte yeterli olmayabilir.

Kötü amaçlı reklamlar yeni dağıtım yöntemi oldu

Yeni varyantın yayılma yöntemi de kullanıcılar açısından risk oluşturuyor. iVerify, P7 DarkSword’un kötü amaçlı reklamlar üzerinden yürütülen watering-hole saldırılarında dağıtıldığını aktarıyor. Bu yöntemde saldırganlar tek tek belirlenmiş kişileri doğrudan hedeflemek yerine, kullanıcıların kötü amaçlı veya ele geçirilmiş web içerikleriyle karşılaşmasını bekliyor.

Dolayısıyla yalnızca belirli bir kuruma ya da kişiye yönelik saldırıların değil, daha geniş internet kampanyalarının parçası olan kullanıcıların da risk altında olabileceği anlaşılıyor. DarkSword’un çalışabilmesi için eski ve savunmasız iOS sürümlerinden yararlanması, Apple’ın yayımladığı güvenlik güncellemelerini geciktirmemeyi kritik hale getiriyor. iPhone kullanıcılarının cihazlarında sunulan güvenlik yamalarını yüklemesi ve şüpheli reklamlar üzerinden açılan bağlantılara karşı dikkatli olması, bu tür saldırılara maruz kalma ihtimalini azaltabilir.