Siber saldırganların, Rusya ile bağlantılı olduğu değerlendirilen gruplar tarafından, daha önce kapatılmış olan iOS ve Android güvenlik açıklarını kullanarak çeşitli web sitelerini ziyaret eden kullanıcıları hedef aldığı bildirildi. Bu saldırılar, özellikle ABD'nin bağımsızlığının 250. yıl dönümünü kutlayan bir web sitesini de içeren çok sayıda platformu etkiledi.
Araştırmacılar, saldırganların Rusya Dış İstihbarat Servisi'nin bir parçası olduğu yönünde orta ila yüksek düzeyde bir güvene sahip olduklarını belirttiler. Saldırılar, iPhone veya Android kullanıcılarının potansiyel olarak yüzlerce farklı siteden birini ziyaret etmesiyle başladı. Trafiğe enjekte edilen JavaScript, cihazı profilleştirdi. Ardından, ziyaret edilen platformun türüne göre uyarlanan son yükler, tarayıcı çerezlerini ve bazı durumlarda Wi-Fi şifrelerini ve tam mobil cihaz verilerini çalmaya çalıştı.
DarkSword Tehdidi
Taklit edilen sitelerden biri, ABD'li milletvekilleri, iş dünyası liderleri ve eski yönetim üyelerinden oluşan partizan olmayan bir grubun üyesi olan america250.org idi. Saldırganlar, america250[.]holiday alan adını kaydederek bunu america250.org'a yönelik bir ters vekil (reverse proxy) olarak kullandı. Taklitçi web sitesi, gerçek siteden içerik alarak zararlı JavaScript'i bu içeriklere ekledi.
Güvenlik firması Sekoia tarafından yapılan açıklamada, "Bu saldırı grubunun, olayı davet temalı oltalama kampanyaları için bir ön dayanak olarak kullanma potansiyeli göz önüne alındığında, bu web sitesini yüksek profilli bir ulusal kutlamayla olan ilişkisi nedeniyle kasıtlı olarak seçmiş olabileceğini değerlendiriyoruz" ifadeleri kullanıldı.
İkinci bir web sitesi olan theowo[.]club, Birleşik Krallık'ın en hassas hükümet kurumlarından Savunma Bakanlığı ve İngiltere Başbakanı'nın resmi konutu ve ofisi olan 10 Downing Street'e fiziksel olarak yakın lüks bir otel olan Raffles of London OWO'yu taklit etti. Mevcut raporlar, Ukrayna Devlet Başkanı Volodimir Zelenskiy'nin 14 Ekim'deki bir ziyareti sırasında burada konakladığını gösteriyor.
Araştırmacılar, "Raffles London at The OWO'yu bu şekilde taklit ederek, saldırı grubu diplomatik delegasyonları ve üst düzey konukları hedefli oltalama kampanyaları aracılığıyla hedeflemeye çalışmış olabilir" dedi.
Saldırganlar, Ukrayna'nın önde gelen bir gaz üretim şirketi ve binlerce web sitesine hizmet veren bir Ukrayna web analitik servisi dahil olmak üzere ele geçirilen web siteleri aracılığıyla da saldırılar düzenlediler. Sekoia, Rusya ile olan bağlantılarını, hedeflerin profilleri ve şüpheli Rus grubunun izlendiği isimlerden biri olan APT29'a atfedilen önceki bir saldırıyla olan benzerliklere dayandırdı.
Siber saldırganlar, üç enfeksiyon vektörüne güvendiler: meşru web sitelerinden gelen trafikte doğrudan JavaScript enjeksiyonu, america250[.]holiday gibi vekil alan adları ve Ukrayna web analitik servisinin tedarik zinciri ele geçirilmesi. Her durumda, enjekte edilen JavaScript aynıydı. İlk aşamada, JavaScript, ziyaretçinin tarayıcısını ve cihazını profilledi. Saldırganlar daha sonra bu bilgiyi, hedef kişinin herhangi bir etkileşimini gerektirmeden çalışan üç sıfır tıklama (zero-click) istismar zincirinden birini sunmak için kullandılar.
Zincirlerden biri, Google araştırmacılarının, Türkiye'deki PARS Defense gibi ticari gözetim satıcılarının ve en az iki başka tehdit aktörünün kullandığını belirttiği bir iOS istismar kiti olan DarkSword idi. Sekoia, daha yeni kampanyada adlandırılmamış iki ek istismar zincirinin kullanıldığını belirtti.
Kampanyada sömürülen tüm güvenlik açıkları, daha önce yamalanmış olan ve yalnızca güncel olmayan iOS veya Android sürümlerinde çalışan "n-günler" (n-days) idi.
Kaynakça: arstechnica.com
