APT29 Bağlantılı Siber Casusluk Saldırısı: iOS ve Android Cihazlar Hedef Alındı

APT29 Bağlantılı Siber Casusluk Saldırısı: iOS ve Android Cihazlar Hedef Alındı

Siber güvenlik firması Sekoia, iPhone ve Android kullanıcılarını hedef alan yeni bir siber casusluk kampanyası tespit etti. Bu saldırılarda, ele geçirilmiş web siteleri, sahte alan adları ve üçüncü taraf bir analiz hizmeti kullanılarak, daha önce yamalanmış güvenlik açıkları üzerinden kullanıcıların oturum bilgileri, parolaları ve cihaz verileri ele geçirilmeye çalışıldı. Araştırmacılar, bu operasyonu Rusya ile bağlantılı olduğu düşünülen APT29 grubuyla ilişkilendiriyor.

Sekoia’nın Tehdit Tespit ve Araştırma (TDR) ekibi, 4 Kasım 2026 tarihinde yayımladığı raporda, iOS ve Android cihazları hedef alan bu kapsamlı saldırı kampanyasının teknik detaylarını paylaştı.

“Poisoned Source” adı verilen bu operasyon, ilk olarak Ekim 2026 ortalarında fark edildi. Araştırmacılar, ABD, Ukrayna, Çekya ve Bulgaristan’daki bazı web sitelerinin zararlı kod dağıtmak amacıyla kullanıldığını belirledi.

Saldırının dikkat çekici yanı, kullanıcıların kötü amaçlı bir uygulama indirmesine gerek kalmadan gerçekleşebilmesi. Güvenlik güncellemeleri eksik olan cihazlarda, zararlı kod içeren bir web sayfasının ziyaret edilmesi istismar sürecini başlatabiliyor.

Sekoia, operasyonun arkasındaki tehdit aktörünü orta-yüksek güven düzeyinde APT29 ile ilişkilendiriyor. Midnight Blizzard ve Cozy Bear olarak da bilinen bu grup, daha önce devlet kurumlarını ve diplomatik kuruluşları hedef alan siber casusluk faaliyetleriyle tanınıyor.

Saldırganlar Güvenilir Web Sitelerini Kullandı

Araştırmaya göre saldırganlar, hedef cihazlara ulaşmak için “watering hole” (su birikintisi) olarak bilinen bir saldırı yönteminden faydalandı. Bu yöntemde, hedef kişilerin ziyaret etmesi muhtemel web sitelerine zararlı kod yerleştiriliyor. Böylece kullanıcı, güvenilir olduğunu düşündüğü bir sayfayı açtığında farkında olmadan saldırı altyapısıyla iletişim kurabiliyor.

Sekoia, operasyonda üç farklı yöntem kullanıldığını tespit etti:

1. İlk yöntemde, gerçek web sitelerinin kaynak kodlarına zararlı JavaScript bileşenleri eklendi. Etkilenen siteler arasında Ukrayna’da bir doğal gaz üreticisi, ABD’deki kimya sektörünü temsil eden bir kuruluş ve Bulgaristan’da askeri faaliyetlerle ilişkili bir web sitesi bulunuyor.
2. İkinci yöntemde ise saldırganlar, tanınmış kuruluşların web sitelerine benzeyen sahte alan adları oluşturdu. Bu siteler, gerçek sayfaların içeriklerini ziyaretçiye gösterirken arka planda zararlı JavaScript kodunu da çalıştırabilecek şekilde yapılandırıldı.
3. Üçüncü yöntem, üçüncü taraf bir web analitik hizmetinin ele geçirilmesine dayanıyordu. Bu yaklaşım, saldırının tek tek web sitelerinin ötesine yayılmasına olanak tanıdı.

Plerdy Üzerinden Tedarik Zinciri Saldırısı Gerçekleştirildi

Operasyonun önemli bileşenlerinden biri, Ukrayna merkezli web analitik hizmeti Plerdy oldu. Sekoia’nın bulgularına göre saldırganlar, 27 Ağustos ile 3 Eylül 2026 tarihleri arasında Plerdy’nin web sitelerinde kullanılan JavaScript izleme bileşenini değiştirdi. Normalde ziyaretçi davranışlarını analiz etmek için kullanılan bu bileşene zararlı kod eklenmesi, hizmetten yararlanan binlerce web sitesinin ziyaretçilerini de saldırı altyapısına maruz bıraktı.

Plerdy bileşeninin, çoğunluğu Ukrayna’da bulunan savunma sanayii, askeri ekipman ve askeri personel alımıyla ilişkili platformlar dahil olmak üzere binlerce web sitesi tarafından kullanıldığı belirtiliyor. Bu olay, yazılım tedarik zinciri saldırılarının yalnızca uygulama güncellemeleri veya yazılım paketleriyle sınırlı olmadığını gösteriyor. Web sitelerine dışarıdan yüklenen analiz ve izleme araçları da saldırganlar için bir dağıtım kanalı haline gelebiliyor.

Ancak, binlerce sitenin riskli bileşeni kullanması, bu siteleri ziyaret eden tüm cihazların ele geçirildiği anlamına gelmiyor. Araştırmada kesin olarak ele geçirilen cihaz sayısı açıklanmadı.

Zararlı JavaScript Cihazın Özelliklerini Analiz Etti

Saldırının teknik incelemesinde “UltimateFingerprinter” adı verilen bir JavaScript bileşeni tespit edildi. Bu bileşen, ziyaretçinin işletim sistemi, tarayıcı sürümü ve cihaz özellikleri hakkında bilgi toplamak amacıyla geliştirildi. Sekoia’nın analizine göre yazılım, 61 farklı veri toplama mekanizmasından yararlanarak 394 alana kadar uzanan bir cihaz profili oluşturabiliyor. Ekran özellikleri, tarayıcı işlevleri ve donanım yetenekleri bu bilgiler arasında yer alıyor.

Toplanan veriler saldırganların kontrolündeki sunucuya aktarılıyor. Sunucu, cihazın işletim sistemi ve tarayıcı sürümüne göre uygun istismar zincirini sunabiliyor. Araştırmacılar, ayrıntılı cihaz profilinin büyük bölümünün istismar kodunun dağıtım kararını doğrudan etkilemediğini belirtiyor. Kodun dağıtımında işletim sistemi, tarayıcı sürümü ve temel cihaz kontrolleri daha belirleyici görünüyor. Bu yapı sayesinde saldırganlar, farklı mobil işletim sistemleri için hazırlanmış istismar araçlarını aynı saldırı altyapısı üzerinden dağıtabiliyor.

iPhone Kullanıcılarında Oturum Bilgileri ve Kişisel Veriler Hedef Alındı

Sekoia, iOS cihazları için iki farklı istismar zinciri tespit etti:

1. İlk zincir, özellikle iOS 16.7 sürümünü hedef alacak şekilde yapılandırılmıştı. Bu zincirde CVE-2025-43529 ve CVE-2024-27834 güvenlik açıkları kullanılarak tarayıcı ve uygulama oturum bilgilerinin elde edilmesi amaçlanıyordu. Oturum çerezleri (cookies), kullanıcıların internet hizmetlerinde kimlik doğrulama işlemlerini sürdürmesine yardımcı olan verilerdir. Bu bilgilerin ele geçirilmesi, bazı koşullarda saldırganların kullanıcının mevcut oturumundan yararlanmasına olanak tanıyabiliyor.
2. İkinci zincir ise iOS 18.5 sürümünü hedefliyordu ve “DarkSword” adlı istismar araç setinden yararlanıyordu. Bu araç setinde CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 ve CVE-2025-43520 güvenlik açıkları bir araya getirildi. İncelenen zararlı kod, tarayıcı verilerinin ötesine geçerek SMS ve iMessage kayıtları, WhatsApp ve Telegram veritabanları, kayıtlı kimlik bilgileri, kişiler, arama geçmişi, konum bilgileri ve fotoğraflar gibi hassas verilere erişebilecek şekilde tasarlanmıştı. Araştırmacıların bu yetenekleri zararlı yazılımın kodunda tespit etmiş olması, belirtilen bütün verilerin her hedef cihazdan gerçekten çalındığının doğrulandığı anlamına gelmiyor.

Android Cihazlarda Chrome ve Wi-Fi Bilgileri Hedefteydi

Android kullanıcılarına yönelik saldırı zincirinde ise Google Chrome ve cihazın grafik sürücüsüyle ilişkili iki güvenlik açığı öne çıktı. Araştırmacılar, CVE-2026-3910 zafiyetinin Chrome içerisinde kod çalıştırmak amacıyla kullanıldığını, ardından CVE-2025-27038 güvenlik açığı aracılığıyla tarayıcının korumalı çalışma ortamının dışına çıkılmaya çalışıldığını belirledi.

Bu zincirin son aşamasında “AndroSnitch” adı verilen bir veri toplama bileşeni çalıştırılıyordu. AndroSnitch’in hedeflediği veriler arasında Chrome çerezleri, kayıtlı giriş bilgileri, tarayıcı geçmişi ve cihazda saklanan Wi-Fi yapılandırma bilgileri yer alıyor. Sekoia’nın analiz ettiği dağıtım altyapısı, Android üzerinde Chrome’un 139 ile 145 arasındaki belirli sürümlerini hedefliyordu. Ancak 143 numaralı sürüm saldırı kapsamı dışında bırakılmıştı. Araştırmacılar bu tercihin nedenini açıklığa kavuşturamadı.

İncelenen saldırı zincirlerinde kalıcılık mekanizması bulunmadığı da raporlandı. Bu durum, zararlı bileşenin cihaz yeniden başlatıldıktan sonra otomatik olarak çalışmaya devam etmesini sağlayan bir mekanizmanın tespit edilmediği anlamına geliyor.

APT29 Bağlantısı Hangi Bulgulara Dayanıyor?

Sekoia, saldırıların APT29 ile ilişkili olduğu değerlendirmesini yalnızca hedef alınan ülkelere dayandırmıyor. Araştırmacılar; önceki saldırılarda kullanılan tekniklerle benzerlikleri, altyapı özelliklerini, hedef seçimini ve geçmiş kampanyalarla bağlantılı göstergeleri birlikte değerlendiriyor. Bu kapsamda bir web sitesinde tespit edilen bazı zararlı bileşenlerin, 2025 yılında APT29 ile ilişkilendirilen başka bir operasyonun bulgularıyla örtüştüğü belirtiliyor.

Google Tehdit Analiz Grubu’nun 2024 yılında yayımladığı araştırmada da APT29 ile ilişkilendirilen saldırganların Moğolistan’daki kamu kurumlarının web siteleri üzerinden mobil cihazları hedef aldığı açıklanmıştı. Her iki araştırmada da daha önce tespit edilmiş güvenlik açıklarından yararlanılması ve kullanıcıların oturum bilgilerinin hedeflenmesi dikkat çekiyor.

Bununla birlikte benzer saldırı tekniklerinin bulunması tek başına kesin fail tespiti sağlamıyor. Sekoia, elde ettiği bulgular doğrultusunda operasyonun APT29 veya grubun alt kümelerinden biri tarafından gerçekleştirildiğini orta-yüksek güven düzeyinde değerlendiriyor.

Güvenlik Güncellemeleri Saldırılara Karşı Neden Önemli?

Araştırmanın kullanıcılar açısından en önemli bulgusu, saldırılarda daha önce keşfedilmiş ve üreticiler tarafından düzeltilmiş güvenlik açıklarının kullanılması. Bu tür açıklar “n-day” olarak adlandırılıyor. “Zero-day” açıklarından farklı olarak, ilgili zafiyetler önceden biliniyor ve güvenlik düzeltmeleri yayımlanmış bulunuyor.

Sekoia, incelediği üç istismar zincirinin de daha önce yamalanmış açıklara dayandığını ve tamamen güncellenmiş cihazlarda bu zincirlerin çalışmadığını belirtiyor. Bu nedenle iPhone kullanıcılarının cihazları için sunulan en güncel iOS güvenlik sürümünü yüklemesi, Android kullanıcılarının ise işletim sistemi, Chrome tarayıcısı ve üretici tarafından sunulan güvenlik güncellemelerini takip etmesi önem taşıyor.

Kuruluşlar açısından ise üçüncü taraf JavaScript bileşenlerinin izlenmesi, web sitelerine eklenen harici kodların denetlenmesi ve tehdit istihbaratı göstergelerinin güvenlik kayıtlarıyla karşılaştırılması öne çıkıyor. Sekoia, etkilenen ülkelerdeki ulusal siber olaylara müdahale ekipleriyle (CERT) koordinasyon yürüttüğünü ve saldırı altyapısıyla ilişkili teknik göstergelerin bir bölümünü araştırma raporunda paylaştığını açıkladı.

Mobil Cihazlara Yönelik Siber Casuslukta Yeni Riskler

“Poisoned Source” kampanyası, mobil cihazları hedef alan gelişmiş saldırıların yalnızca zararlı uygulamalar veya sahte mesajlar üzerinden gerçekleştirilmediğini ortaya koyuyor. Güvenilir bir web sitesinin ele geçirilmesi ya da yaygın kullanılan üçüncü taraf bir bileşenin değiştirilmesi, kullanıcıların farkında olmadan saldırı koduyla karşılaşmasına neden olabiliyor.

Operasyon aynı zamanda daha önce geliştirilmiş istismar araçlarının farklı tehdit aktörleri tarafından yeniden kullanılmasının önemini gösteriyor. Yeni bir güvenlik açığı keşfetmek yerine mevcut istismar zincirlerini güncellenmemiş cihazlara yönlendirmek de ciddi bir siber casusluk riski oluşturabiliyor. Sekoia’nın bulguları, mobil işletim sistemlerinin düzenli güncellenmesinin yanında web altyapılarındaki üçüncü taraf bağımlılıkların güvenliğinin de korunması gerektiğine işaret ediyor.