Siber güvenlik firması Sekoia araştırmacıları, Rusya ile bağlantılı olduğu tahmin edilen siber korsanların, iOS ve Android cihazlardaki güvenlik açıklarını kullanarak insanların telefonlarına sızmaya çalıştığını tespit etti. Rusya Dış İstihbarat Servisi'ne bağlı olduğu bildirilen saldırganlar, aralarında ABD bağımsızlığının 250. yılı kutlamaları için hazırlanan resmi portalın benzeri de dahil çok sayıda web sitesini kullandı.
Ars Technica'nın haberine göre saldırılar, kullanıcıların hedef alınan yüzlerce farklı web sitesinden birini ziyaret etmesiyle başladı. Ağ trafiğine enjekte edilen JavaScript kodları ilk aşamada ziyaretçinin cihazını ve tarayıcısını inceliyor. Ardından cihazın işletim sistemine özel olarak hazırlanan zararlı yazılımlar, tarayıcı çerezlerini, kablosuz ağ şifrelerini ve cihazdaki tüm verileri ele geçirmeye çalışıyor.
SAHTE SİTELER VE TEDARİK ZİNCİRİ ÜZERİNDEN TUZAK KURULDU
Korsanların taklit ettiği platformlar arasında, ABD'li milletvekilleri, iş insanları ve Trump yönetiminin eski bir üyesinin yer aldığı gruba ait "america250.org" sitesi var. Sekoia uzmanları, saldırganların ulusal bir kutlamayı hedef alarak davetiye temalı hedefli kimlik avı (spear-phishing) kampanyaları yürütmeyi amaçladığını bildirdi.
Aynı yöntem İngiltere'de de uygulandı. Savunma Bakanlığı ve Başbakanlık Ofisi'nin yer aldığı 10 Downing Street gibi kritik devlet kurumlarına yakınlığıyla bilinen lüks Raffles London OWO otelinin internet sitesi kopyalandı. Açık kaynaklı istihbarat raporları, Ukrayna Devlet Başkanı Volodimir Zelenskiy'nin 14 Ekim'deki İngiltere ziyaretinde bu otelde konakladığını gösteriyor.
Araştırmacılar, söz konusu saldırı ile diplomatik heyetlerin ve üst düzey konukların hedef alındığını kaydetti.
Saldırganlar ayrıca Ukrayna merkezli büyük bir gaz üretim şirketinin internet sitesini ve binlerce siteye altyapı sağlayan Ukrayna web analiz servisini hackleyerek tedarik zinciri üzerinden zararlı kod yaydı. Sekoia saldırı grubunun APT29 çatısı altında faaliyet gösterdiğini bildirdi.
ÜÇ YÖNTEMLE SALDIRI YAPILDI
Saldırılarda üç farklı bulaşma yöntemi kullanıldı: Yasal web sitelerinin veri trafiğine doğrudan JavaScript enjeksiyonu, sahte vekil alan adları ve Ukraynalı analiz servisinin tedarik zincirinin kırılması . Tüm yöntemlerde elde edilen cihaz bilgisine göre kullanıcının herhangi bir işlem yapmasını gerektirmeyen (sıfır tıklama / zero-click) üç farklı istismar zincirinden biri devreye sokuldu.
Kullanılan zincirlerden birinin de "DarkSword" isimli "iOS istismar kiti" olduğu belirlendi.
GÜNCELLEME YAPANLAR SALDIRILARDAN ETKİLENMEDİ
Siber saldırılarda kullanılan tüm güvenlik açıklarının yazılım üreticileri tarafından daha önce kapatılmış açıklar olduğu bildirildi. Dolayısıyla telefonunu güncelleyen kullanıcıların etkilenmediği tahmin ediliyor.
Yorumlar
Yorumlar yükleniyor…