Siber Saldırganlar iOS ve Android Açıkları Kullanarak Telefonları Bulaştırdı.

Siber salırganların, muhtemelen Kremlin ile bağlantılı olduğu belirtilen, bir grup web sitesinin ziyaretçilerini hacklemeye çalışırken daha önce kapatılan iOS ve Android açıklarını kullandığı, araştırmacılar Çarşamba günü bildirdi. Açıklamalara göre, hedeflenen sitelerden biri Amerikan bağımsızlığının 250. yıl dönümünü kutluyordu.

Araştırmacıların “orta-yüksek güven” ile Rusya Dış İstihbarat Servisinin bir parçası olduğunu değerlendirdiği salırganlar, ülkenin Ukrayna’ya yönelik süren savaşıyla bağlantılı birçok site de dahil olmak üzere diğer sitelere saldırdı. Saldırılar, iPhone veya Android kullanıcıları potansiyel olarak yüzlerce farklı siteden birini ziyaret ettiğinde başladı. Trafiğe enjekte edilen JavaScript cihazı profilledi. Son yükler, ziyareti yapan platform türüne göre uyarlandı ve tarayıcı çerezlerini çalmayı, bazı durumlarda da Wi-Fi şifrelerini ve tam mobil cihaz verilerini çalmayı hedefledi.

DarkSword Kullanımı

Sahteleştirilen sitelerden biri, muhit partizan olmayan milletvekilleri, iş yöneticileri ve en az bir eski Trump yönetimi üyesinden oluşan bir grubun mülkü olan america250.org’du. Salırganlar america250[.]holiday kaydett ve bunu america250.org için ters proxy olarak kullandı. Sahte web sitesi, gerçektekinin içeriğini sundu ancak içine zararlı JavaScript ekledi.

“İstihbarat setinin, bu siteyi yüksek profilli ulusal bir kutlama ile olan bağlantısı nedeniyle bilinçli bir şekilde seçmiş olabileceğini değerlendiriyoruz; potansiyel olarak bu etkinliği davet temalı, hedefe yönelik spear-phishing kampanyaları için bir bahane olarak kullanmış olabilir,” güvenlik şirketi Sekoia’dan araştırmacılar söyledi.

İkinci bir site olan theowo[.]club, Londra’daki Raffles of London OWO adlı lüks oteli proxy’ledi; bu otel, Savunma Bakanlığı ve İngiliz Başbakanının resmi ikametgahı ve ofisi 10 Downing Street dahil olmak üzere İngiltere’nin en hassas devlet kurumlarından birine fiziksel olarak yakındır. Açık kaynak raporlamaya göre, Ukrayna Cumhurbaşkanı Volodymyr Zelenskyy, 14 Ekim’deki bir ziyaret sırasında burada kalmıştı.

“Londra’daki Raffles at The OWO’yu bu şekilde ‘watering hole’ [sahteleştirme] yöntemiyle kullanarak, istihbarat setinin, hedefe yönelik spear-phishing kampanyaları aracılığıyla diplomatik delegeleri ve yüksek profilli konukları hedeflemeye çalışmış olabilir,” araştırmacılar söyledi.

Saldırganlar saldırılarını aynı zamanda zararlı hale getirilmiş web siteleri—including Ukrayna’nın önde gelen gaz üretim şirketlerinden biri ve binlerce web sitesine hizmet veren bir Ukrayna web analiz hizmeti—aracılığıyla da gerçekleştirdi. Sekoia, Kremlin’e atıfının hedeflerin profillerine ve APT29’a atıflı bir önceki saldırıyla benzerliklere dayandığını belirtti; APT29, şüpheli Rus grubunun izlendiği isimlerden biri.

Saldırganlar üç bulaşma vektörüne güvendi: meşru sitelerden trafiğe doğrudan JavaScript enjeksiyonu, america250[.]holiday gibi proxy alan adları ve Ukrayna web analiz hizmetinin tedarik zinciri yoluyla zararlı hale getirilmesi. Her durumda enjekte edilen JavaScript aynıydı. İlk aşamada JavaScript, ziyaretçinin tarayıcısını ve cihazını analiz etti. Saldırganlar ardından bu bilgiyi kullanarak hedefin herhangi bir etkileşimi gerektirmeyen üç zero-click exploit zincirinden birini devreye soktu.

Bu zincirlerden biri DarkSword’du; iOS için bir exploit kiti olan bu araç, Google araştırmacılarının Türkiye’deki ticari gözetim tedarikçisi PARS Defense’ın müşterileri ve en az iki başka tehdit aktörü tarafından kullanıldığını belirtti. Sekoia, daha güncel kampanyanın adlandırılmamış iki başka exploit zincirini kullandığını söyledi.

Kampanyada sömürülen tüm açıklar “n-days”tı, yani zaten yamalanmışlardı ve saldırılar yalnızca güncel olmayan iOS veya Android sürümlerinde işe yaradı.