APT29, Web Analiz Hizmetini Hedefleyerek iOS ve Android Kullanıcılarına Yönelik Saldırılar Düzenledi

APT29, Web Analiz Hizmetini Hedefleyerek iOS ve Android Kullanıcılarına Saldırdı

Rusya bağlantılı tehdit aktörü APT29, iOS ve Android kullanıcılarını hedef alan geniş çaplı bir “watering hole” (sulu göz) kampanyası düzenledi. Bu kampanya, ele geçirilmiş web siteleri, sahte alan adları ve Ukraynalı web analiz hizmeti Plerdy SEO Tracker’ı içeren bir tedarik zinciri saldırısı aracılığıyla gerçekleştirildi.

Sekoia araştırmacıları Amaury-Jacques Garçon ve Félix Aime, The Hacker News ile paylaştıkları teknik bir raporda, “Enjekte edilen JavaScript kodu tarayıcı ve cihaz özelliklerini topluyor” dedi. Araştırmacılar, “Ardından, dağıtım altyapısı, iOS veya Android’i hedefleyen platforma özgü bir N-gün istismar zinciri sunuyor” diye ekledi.

Saldırıların nihai amacı, tarayıcı çerezlerini ve bazı durumlarda Wi-Fi şifrelerini veya tüm mobil cihaz verilerini çalabilen kötü amaçlı yazılımları dağıtmaktır. “Poisoned Source” olarak adlandırılan bu faaliyet, Fransız siber güvenlik şirketi tarafından Ekim 2026 ortalarında keşfedildi.

Saldırı Kampanyasının Üç Temel Vektörü

Kampanyanın belirleyici özelliği, üç enfeksiyon vektörünün kullanılmasıdır:

• Kötü amaçlı JavaScript enjekte etmek için meşru web sitelerinin ele geçirilmesi.
• ABD’deki (“america250[.]holiday”), Ukrayna, Çek Cumhuriyeti ve Bulgaristan’daki yüksek profilli web sitelerini taklit eden benzer siteler.
• 27 Ağustos – 3 Eylül 2026 tarihleri arasında Plerdy SEO Tracker’ın tedarik zincirinin “a.plerdy[.]com/public/js/click/main.js” adresine kötü amaçlı kod enjekte edilerek ele geçirilmesi.

Ele geçirilen web sitelerinden bazıları arasında, ABD’deki kimya endüstrisinde faaliyet gösteren şirketleri temsil eden büyük bir endüstri ticaret birliği, aşırı sağcı bir Avrupa siyasi partisi ve Bulgaristan’la ilgili bir askeri web sitesi bulunmaktadır. “Watering hole” kampanyasının, geniş bir kitleyi hedeflemek yerine belirli kişileri hedeflemek üzere tasarlanmış olabileceği düşünülüyor.

Sekoia, “Saldırganların belirli web sitelerinin ziyaretçilerini hedeflemeyi mi amaçladığı, yoksa mümkün olduğunca çok sayıda yamalanmamış mobil cihazı ayrım gözetmeksizin ele geçirip verileri sızdırdıktan sonra ilgi çekici bilgileri seçici olarak belirleyip kullanmayı mı amaçladığı belirsizliğini koruyor” dedi.

Sekoia ayrıca, “Ancak, bu sitelerin birçoğu, Rusya-Ukrayna savaşı bağlamında yüksek değerli veya stratejik olarak önemli ziyaretçileri çekme potansiyeline sahip. Bu tedarik zinciri saldırısı, ordu, özel kuvvetler ve askeri teçhizat (balistik, İHA) web siteleri gibi yüksek değerli hedefler aracılığıyla yayıldı” açıklamasını yaptı.

Kullanılan yöntem ne olursa olsun, tüm yollar aynı kötü amaçlı yazılıma çıkıyor: ziyaretçinin cihazını ve web tarayıcısını profilleyen ve ardından uygun bir sonraki aşama kötü amaçlı yazılımı sunan bir JavaScript yükleyici. iOS kullanıcıları için bu, çerezleri ve tam cihaz verilerini toplamak için DarkSword adlı bir istismar kitine yol açıyor.

iOS ve Android İçin Farklı İstismar Zincirleri

Android’de ise kötü amaçlı yazılım, kalıcılık sağlamadan Chrome verilerini ve Wi-Fi şifrelerini sızdırmak üzere donatılmıştır. En az üç farklı istismar tespit edilmiştir:

• A Sınıfı: iOS 16.7 çalıştıran iOS cihazlarını hedef alır. Çerez hırsızlığı için JavaScript kötü amaçlı yazılımı sunmak üzere CVE-2025-43529 (DarkSword tarafından kullanılan aynı güvenlik açığı) ve CVE-2024-27834’ü kullanır.
• B Sınıfı: iOS 18.5 çalıştıran iOS cihazlarını hedef alır. Tam cihaz verisi sızdırmak için CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 ve CVE-2025-43520’den oluşan DarkSword istismar zincirini kullanır. Bu, SMS mesajları ve iMessage’lar; Apple Mail Zarf Dizini ve Korumalı Dizin SQLite veritabanları; sesli mesaj; WhatsApp ve Telegram veritabanları; iCloud Anahtar Zinciri, Wi-Fi şifreleri; kişiler; arama geçmişi; Safari tarayıcı geçmişi ve çerezleri; fotoğraflar; ve Apple Sağlık, Takvim, Notlar ve iCloud Drive’dan gelen verileri içerir.
• C Sınıfı: Chrome’un 139’dan 145’e kadar olan sürümlerini (ancak şu anda bilinmeyen nedenlerle sürüm 143’ü açıkça hariç tutarak) çalıştıran Android cihazlarını hedefler. Uzaktan kod yürütme, sanal alan kaçışı, ayrıcalık yükseltme ve nihayetinde Chrome verilerini ve Wi-Fi şifrelerini toplamak için AndroSnitch’i sunmak üzere CVE-2026-3910 ve CVE-2025-27038’i kullanır.

Her üç durumda da sızdırılan veriler “ad.starx-net[.]com:8881/telemetry/v12” uç noktasına gönderilir. Android saldırı zinciri, hedef cihazın model tanımlayıcısını (yani SM-S938B) inceleyerek bir Samsung Galaxy S25 Ultra olup olmadığını belirlemek için bir kontrol içerir. Cihaz eşleşirse, istismar faaliyeti sonlandırılır.

AndroSnitch, adını, Google’ın Ağustos 2024’te şüpheli bir APT29 “watering hole” kampanyasıyla bağlantılı olarak belgelediği, CVE-2024-5274 ve CVE-2024-4671 içeren bir Chrome istismar zincirini kullanarak Moğolistan hükümet web sitesini ziyaret eden Android kullanıcılarını hedef alan ANDROSNATCH adlı Chrome çerez çalma kötü amaçlı yazılımına olan benzerliklerinden almaktadır.

Sekoia, “Bu operasyon aynı zamanda, DarkSword gibi Ticari Gözetim Satıcıları (CSV) mobil istismar çerçevelerinin, devlet destekli saldırı grupları tarafından sürekli olarak yeniden kullanıldığını doğrulamaktadır” dedi. Şirket, “Paketlenmiş N-gün istismar zincirlerinin benimsenmesi, gelişmiş mobil istismar gerçekleştirmek için gereken maliyeti ve teknik eşiği düşürmektedir” diye ekledi.

Coruna ve DarkSword Kitleri Gelişiyor

Bu gelişme, iVerify ve Report URI’nin, reklam tabanlı altyapıyı kullanan “yarım tıklama” saldırıları aracılığıyla dağıtılan DarkSword’un P7 varyantını detaylandırmasından haftalar sonra geldi. Bir vakada, istismarın Dünya Kupası temalı ve “ad-track[.]live” adresinden sunulan kötü amaçlı bir Instagram reklamı aracılığıyla yayıldığı belirtildi.

Diğer yol ise, saldırganların binlerce web sitesi tarafından hala yüklenen eski analiz ve reklam etiketlerinin arkasındaki süresi dolmuş alan adlarını edindiği DeadTag adlı bir suç kampanyasının parçasıdır. Amaç, iPhone ziyaretçilerine kötü amaçlı JavaScript sunmak ve saldırganın isteğini sessizce yerine getirmektir.

Report URI, “Kimlerin ziyaret ettiğini kontrol ediyor” dedi. “Arama motorları, güvenlik tarayıcıları, otomatik tarayıcılar ve bot gibi görünen her şey hiçbir şey almıyor” diye ekledi.

Ardından, komut dosyası saldırganın sunucusuyla etkileşime girer ve sunucu, her ziyaretçinin hangi hedefe yönlendirileceğine karar verir. DeadTag’dan yararlanan iPhone istismar yolları, iOS sürüm 13’ten 17.2.1’e kadar olan eski iPhone’lar için Coruna istismar kitine ve iOS 18.4’ten 18.7’ye kadar olan iOS cihazları için DarkSword P7’ye yol açar.

Report URI’den Scott Helme, “Bunlar kimlik avı sayfaları veya sahte uygulama indirmeleri değil, her iki kit de tarayıcının kendisine saldırıyor” dedi. Helme, “Sayfayı açmak bile cihazınızın ele geçirilmesi için yeterli. Dokunacak hiçbir şey yok, hiçbir bağlantıya tıklamanıza gerek yok, hiçbir şey yüklemenize gerek yok ve hiçbir uyarı yok. iPhone, iOS’un savunmasız bir sürümünü çalıştırıyorsa, kit tarayıcıdan çıkar ve cihaza casus yazılım yükler” diye açıkladı.

Diğer planlar ise yanıltıcı Google yönlendirmelerine, bahis ve kumarhane dolandırıcılığı kayıt sayfalarına, araba fırsatları ve diş hekimleri için arama reklamlarına ve sahte anketlere ve “kazandınız” ödül sayfalarına yol açar. DeadTag ağının bir parçası olarak 660’tan fazla süresi dolmuş ve yeniden kaydedilmiş alan adı bulunmaktadır.

Zimperium zLabs tarafından yayınlanan bir analize göre, Coruna ve DarkSword istismar kitlerini dağıtan kampanyalar gelişmeye devam etti ve Ekim 2026 itibarıyla 608 alan adı Coruna ailesi kodunu dağıtıyordu.

Coruna başlangıçta bir ulus-devlet aktörü tarafından yüksek hedefli operasyonlar için geliştirilmiş olsa da, ilk açıklamanın ardından sızdırılması, araç kitini birden fazla tehdit aktörünün kendi kampanyaları için geniş çapta erişilebilir hale getirdi.

Birçok durumda, yem sitelerinin, ziyaretçilere uygulama içi tarayıcılarından veya alternatif iOS tarayıcılarından çıkmalarını ve cihaz işletim sistemine bağlı olarak istismar zincirini tetiklemek için bağlantıyı Safari’de açmalarını açıkça talimat verdiği tespit edildi.

Güvenlik araştırmacısı Santiago Rodriguez, “iOS 17.2.1 veya daha eski sürümleri çalıştıran hedefler, eski Coruna çerçevesini alır (birden fazla kurtarılan yapılandırmada bayt-özdeş JavaScript kötü amaçlı yazılımları sergiler)” dedi. Rodriguez, “Tersine, daha yeni iOS yapılarını çalıştıran cihazlar, DarkSword’dan türetilmiş bir yürütme zinciri alır” diye ekledi.

Rodriguez ayrıca, “Analiz edilen dağıtım alanı, flört portalları, yapay zeka arkadaş platformları, kripto para promosyonları, medya akış hizmetleri ve – birkaç durumda – gizli iframe’ler aracılığıyla kiti sunan ele geçirilmiş meşru siteleri kapsamaktadır” açıklamasını yaptı.