Güvenlik araştırmacıları, DarkSword adı verilen bir siber saldırı kampanyasında, daha önce giderilmiş iOS ve Android güvenlik açıklarının hedef alındığını bildirdi. Araştırmacıların değerlendirmesine göre kampanya, Kremlin’le bağlantılı olabilecek saldırganlar tarafından yürütülmüş olabilir. Bu ilişki için bildirilen güven düzeyi “orta ile yüksek” olarak ifade ediliyor; dolayısıyla bu, kesinleşmiş bir sonuç değil, mevcut bulgulara dayanan bir değerlendirmedir.
Saldırıda, ziyaretçileri hedeflenen internet sitelerine yönlendiren bir yöntem kullanıldığı aktarıldı. Hedefler arasında Rusya’nın Ukrayna’ya karşı yürüttüğü savaşla bağlantılı olduğu belirtilen bazı siteler ve ABD’nin 250. bağımsızlık yıl dönümünü kutlamaya yönelik america250.org da yer aldı. Saldırının dikkat çeken yönlerinden biri, kullanıcının özel olarak bir dosya indirmesi gerekmeksizin, etkilenmiş bir siteyi ziyaret etmesinin cihazın incelenmesini başlatabilmesiydi.
Bir site ziyaretiyle başlayan saldırı zinciri
Araştırmacıların aktardığı yöntemde saldırganlar, hedef alınan internet sitelerinin ziyaretçilerine ulaşmak için sayfalara zararlı JavaScript kodu ekledi. Söz konusu kod, siteyi açan cihaz hakkında bilgi toplamak ve hangi işletim sistemi ya da tarayıcının kullanıldığını belirlemek için çalışabiliyor. Kampanyanın yüzlerce siteyi kapsama ihtimali bulunduğu belirtilse de bu sayı, doğrulanmış ve eksiksiz bir hedef listesi olarak değerlendirilmemeli.
Cihazın özellikleri belirlendikten sonra saldırganlar, kullanılan platforma uygun bir sonraki aşamayı devreye sokabiliyor. Başka bir deyişle iPhone ve Android cihazlara mutlaka aynı kod ya da aynı zararlı yazılım gönderilmiyor. Platforma göre farklılaştırılan bu yaklaşım, saldırının hedef cihazla uyumlu biçimde ilerlemesini ve kullanıcı açısından fark edilmesinin zorlaşmasını sağlayabilir.
Hedeflenen bilgiler ve olası etkiler
Araştırma bulgularına göre saldırı bileşenleri, tarayıcı çerezleri gibi bilgileri ele geçirmeye çalışabiliyor. Çerezler, bazı internet hizmetlerinde oturum durumunu korumak için kullanıldığından, bunların kötüye kullanılması hesaplara erişim veya kullanıcı etkinliğini izleme gibi riskler doğurabilir. Ancak bir verinin hedeflenmesi, her saldırı vakasında başarıyla çalındığı anlamına gelmez.
Bazı saldırı senaryolarında Wi-Fi parolaları ve cihazda bulunan başka mobil verilerin de hedef alınabileceği bildirildi. Hangi verilerin toplanabileceği, cihazın işletim sistemine, kullanılan açıkların türüne ve saldırının o cihazda hangi aşamaya kadar ilerlediğine bağlıdır. Bu nedenle bütün DarkSword hedeflerinin aynı bilgilere eriştiğini ya da her ziyaretçinin cihazından veri alındığını söylemek doğru olmaz.
america250.org adresi nasıl taklit edildi?
Aktarılan bulgular arasında, america250.org sitesinin taklit edilmesi de yer alıyor. Saldırganların, gerçek internet adresine benzeyen america250[.]holiday alan adını kaydettirdiği bildirildi. Köşeli parantez içindeki nokta, güvenlik yazılarında zararlı olabilecek bir adresin yanlışlıkla tıklanmasını önlemek amacıyla kullanılan bir yazım biçimidir.
Bu alan adının, gerçek sitenin içeriğini ziyaretçiye aktaran bir ters proxy gibi çalıştığı belirtildi. Bu yöntemde ziyaretçi sahte adrese bağlanırken sayfa içeriği gerçek siteden alınabilir; araya eklenen zararlı kod da sayfayla birlikte sunulabilir. Böylece sayfa görünüşte tanıdık ve meşru durabilir, ancak ziyaretçinin bağlantı kurduğu adres gerçek alan adı değildir. Kullanıcıların adres çubuğunu kontrol etmesi bu tür taklitleri fark etmeye yardımcı olabilir.
america250.org, ABD’nin bağımsızlığının 250. yıl dönümünü kutlamaya yönelik bir girişimle ilişkilendiriliyor. Hedefler arasında bu adresin bulunması, saldırı kampanyasının yalnızca tek bir siyasi ya da coğrafi temayla sınırlı olmayabileceğini gösteriyor. Bununla birlikte, bir sitenin hedef alınmış olması siteyi işletenlerin saldırıyla bağlantılı olduğu anlamına gelmez; çoğu durumda site, ziyaretçilere ulaşmak için kötüye kullanılan bir araç konumundadır.
Yamalar ve güncelleme önlemleri
DarkSword kampanyasında kullanıldığı bildirilen açıkların daha önce yamalanmış olması önemli bir ayrıntı. Güvenlik yaması, yazılım üreticisinin bilinen bir zayıflığı gidermek için yayımladığı düzeltmedir. Bir açık yamalandıktan sonra güncel cihazlar bu açığa karşı korunabilir; ancak güncelleme yüklenmemiş cihazlar savunmasız kalabilir. Bu nedenle “açık yamalanmış” ifadesi, tüm cihazların otomatik olarak güvende olduğu anlamına gelmez.
iPhone ve Android kullanıcılarının işletim sistemi güncellemelerini ve güvenlik düzeltmelerini geciktirmeden yüklemesi temel bir önlemdir. Uygulamaları da resmi mağazalardan edinmek, şüpheli bağlantılara karşı dikkatli olmak ve ziyaret edilen adresin doğru alan adı olduğundan emin olmak riski azaltabilir. Kurumlar açısından ise web sitelerinin içerik bütünlüğünü denetlemek ve sayfalara izinsiz kod eklenip eklenmediğini takip etmek önem taşır.
Güvenlik araştırmacılarının açıkladığı bulgular, güncel olmayan mobil cihazların bilinen açıklar üzerinden hedef alınabileceğini bir kez daha ortaya koyuyor. Bununla birlikte saldırının kapsamı, her hedefteki başarı oranı ve Rus istihbaratıyla olası bağlantısı konusunda kesin hüküm vermek için mevcut kanıtların sınırlarını gözetmek gerekiyor. En güvenli yaklaşım, cihazları güncel tutmak ve şüpheli ya da taklit alan adlarına karşı temkinli davranmaktır.
