Rusya Destekli Hackerlar, iPhone ve Android Cihazları Hedef Alan Casusluk Kampanyası Yürüttü

Rusya Destekli Hackerlar, iPhone ve Android Cihazları Hedef Alan Casusluk Kampanyası Yürüttü

Araştırmacılar, Rusya ile bağlantılı hackerların Ukrayna, Amerika Birleşik Devletleri ve Avrupa’daki kullanıcıları hedef alarak iPhone ve Android cihazlardan hassas bilgileri çalmayı amaçlayan bir kampanya yürüttüğünü ortaya koydu. Fransız siber güvenlik firması Sekoia, bu operasyonu APT29 (Cozy Bear veya Midnight Blizzard olarak da bilinen) grubuna atfetti. Bu casusluk grubunun, Rusya’nın dış istihbarat servisi (SVR) adına faaliyet gösterdiğine inanılıyor.

Hackerlar, potansiyel kurbanlara ulaşmak için meşru web sitelerine kötü amaçlı kod yerleştirdi, popüler web sitelerinin sahte versiyonlarını oluşturdu ve bir Ukrayna web analiz hizmetini ele geçirdi. Bu saldırılar, bazı durumlarda kullanıcıların herhangi bir şeye tıklamasına veya kötü amaçlı dosyalar indirmesine gerek kalmadan, savunmasız cihazlardan şifreler, mesajlar, e-postalar, tarayıcı verileri ve diğer hassas bilgileri çalmayı başardı.

Soruşturma, araştırmacıların adı açıklanmayan bir Ukrayna gaz üretim şirketinin web sitesinde kötü amaçlı kod keşfetmesiyle başladı. Daha sonra yapılan analizler, büyük bir ABD kimya endüstrisi ticaret birliği ve aşırı sağcı bir Avrupa siyasi partisi de dahil olmak üzere diğer kuruluşları etkileyen benzer ihlalleri ortaya çıkardı.

Hackerlar ayrıca iki önemli web sitesinin sahte versiyonlarını oluşturdu: ABD bağımsızlığının 250. yıl dönümünü anan America250 girişimi ve İngiliz hükümet binalarına yakın lüks bir otel olan Raffles London at The OWO. Sahte web siteleri, taklit ettikleri meşru sitelerden içerik gösterirken, aynı zamanda savunmasız cihazları kullanan ziyaretçileri tanımlamak için tasarlanmış kötü amaçlı kod çalıştırıyordu. Araştırmacılar, sahte America250 web sitesinin kurbanları yıl dönümü etkinliklerine davetlerle çekmek için kullanılmış olabileceğini, otel web sitesinin ise diplomatları ve diğer yüksek profilli konukları hedeflemiş olabileceğini öne sürdü. Ukrayna Devlet Başkanı Volodimir Zelenski’nin Ekim ayındaki bir ziyareti sırasında Londra’daki Raffles’ta kaldığı bildirilse de, araştırmacılar onun hedef alındığına dair herhangi bir kanıt bulamadı.

Kampanyanın en geniş kapsamlı operasyonlarından birinde, saldırganlar binlerce web sitesi tarafından kullanılan ve çoğu Ukrayna merkezli olan Plerdy adlı bir Ukrayna web analiz hizmetini ele geçirdi. Ağustos sonu ile Eylül başı arasında, hackerlar hizmet aracılığıyla dağıtılan bir izleme komut dosyasına kötü amaçlı kod ekledi. Bu durum, Ukrayna ordusu, özel kuvvetler ve insansız hava araçları ile diğer askeri teçhizat üreticileriyle ilişkili olanlar da dahil olmak üzere yüzlerce web sitesini ziyaret eden kullanıcıları potansiyel olarak riske attı. Ele geçirilen komut dosyası, saldırganların bilinen güvenlik açıklarını istismar etmeye çalışmadan önce ziyaretçilerin cihazlarını ve yazılım versiyonlarını tanımlamasına olanak tanıdı. Sekoia, hackerların belirli kişileri mi hedeflediği yoksa değerli hedefleri belirlemeden önce mümkün olduğunca çok sayıda savunmasız cihazdan bilgi toplamaya mı çalıştığının belirsiz olduğunu belirtti.

Akıllı Telefon Verilerini Çalma Yöntemleri

Hackerlar, cihaz ve işletim sistemine bağlı olarak farklı saldırı yöntemleri kullandı. iOS 16 çalıştıran eski iPhone’larda, saldırılar tarayıcı ve uygulama çerezlerini çalmayı amaçladı, bu da hackerların çevrimiçi hesaplara erişmesine potansiyel olarak izin verebilirdi. iOS 18.5 çalıştıran savunmasız iPhone’ları hedef alan daha gelişmiş bir saldırı, mesajları, e-postaları, şifreleri, kişileri, fotoğrafları ve konum geçmişini, ayrıca WhatsApp ve Telegram gibi mesajlaşma uygulamaları tarafından depolanan bilgileri çıkarabildi.

Bu saldırı, iPhone’lardan büyük miktarda bilgi çıkarabilen, ticari olarak geliştirilmiş bir gözetim aracı olduğu düşünülen DarkSword adlı bir araç setine dayanıyordu. DarkSword daha önce Suudi Arabistan, Türkiye ve Malezya’daki kullanıcıları hedef alan operasyonlarda diğer tehdit aktörleri tarafından kullanılmıştı. Android cihazlarda ise hackerlar, Google’ın Chrome tarayıcısının eski versiyonlarındaki güvenlik açıklarını kullanarak tarama verilerini, çerezleri ve kaydedilmiş Wi-Fi şifrelerini çaldı.

Bazı casus yazılım operasyonlarının aksine, bu saldırılar ele geçirilen cihazlara uzun süreli erişim sağlamadan bilgi çıkarmak için tasarlandı. Her üç saldırı yöntemi de, kampanya başlamadan önce Apple ve Google tarafından zaten yamalanmış olan daha önce keşfedilmiş güvenlik açıklarına dayanıyordu. Araştırmacılar, saldırıların daha önce bilinmeyen yazılım açıklarını (sıfır gün açıkları olarak bilinir) istismar etmediğini ve tamamen güncellenmiş cihazlara karşı işe yaramayacağını belirtti. Sekoia, kaç akıllı telefonun başarılı bir şekilde ele geçirildiğini veya hackerların ne kadar bilgi elde ettiğini belirleyemediğini ifade etti. Şirket, potansiyel kurbanları belirlemek ve hackerların altyapısını bozmanın yollarını araştırmak için etkilenen ülkelerdeki bilgisayar acil durum müdahale ekipleriyle çalıştığını bildirdi.