Güvenlik firması iVerify, yılın başında keşfedilen DarkSword iPhone istismar zincirinin yeni ve daha gelişmiş bir varyantı olan P7 DarkSword'u duyurdu. Bir finans kuruluşunun çalışanına ait cihazda Ağustos ayında tespit edilen bu yeni varyant; geliştirilmiş gizlilik, iki yönlü komuta-kontrol iletişimi ve doğrudan anahtar zinciri ile kripto cüzdan verilerini hedef alma yetenekleriyle dikkat çekiyor.
Güvenlik araştırma kuruluşu iVerify, yılın başlarında teknoloji dünyasında yankı uyandıran DarkSword istismar zincirinin arkasındaki zararlı yazılımın yeni bir varyantını kamuoyuyla paylaştı. P7 DarkSword adı verilen bu yeni sürüm, özellikle güncellenmemiş iOS işletim sistemlerini hedef alan saldırıların teknik karmaşıklığını bir üst seviyeye taşıyor.
Olayın Arka Planı ve Önceki Gelişmeler
Bu yılın başlarında Google ve iVerify, eski iOS sürümlerini çalıştıran cihazları hedef alan Coruna ve DarkSword adında iki sofistike iPhone hackleme aracını gün ışığına çıkarmıştı. Coruna iOS 13 ile iOS 17.2.1 arasındaki sürümleri etkilerken, DarkSword iOS 18.4 ila iOS 18.7 arasındaki sürümleri hedef almıştı. Bu keşiflerin ardından Apple, etkilenen eski sistem sürümleri için acil güncellemeler yayımlamış; hatta kullanıcıların DarkSword'a karşı korunabilmesi için iOS 18.7.7 güncellemesini daha yeni sürümleri destekleyen cihazlara bile olağan dışı bir adımla sunmuştu.
Google, o dönemde yayımladığı raporlarda DarkSword'un ticari gözetim satıcıları ve devlet destekli olduğu şüphelenilen aktörler tarafından Türkiye, Suudi Arabistan, Malezya ve Ukrayna'daki hedefli saldırılarda kullanıldığını belirtmişti.
P7 DarkSword: Gizlilik ve Mühendislik Odaklı Gelişmeler
iVerify ekibi, ağustos ayında bir finans kuruluşunda çalışan bir personelin iPhone'unda gerçekleştirdiği enfeksiyon incelemesi sırasında daha önce görülmemiş bu varyantla karşılaştı. P7 ismi, saldırganların orijinal DarkSword kodunda yaptığı değişikliklerde kullandığı p7_ değişken önekine dayanıyor.
iVerify tarafından paylaşılan detaylara göre P7 varyantı, önceki sürümlere kıyasla gizlilik, kararlılık ve işlevsellik olmak üzere üç temel alanda önemli iyileştirmeler içeriyor. Yazılım; cihaz üzerindeki izini azaltmak için günlük kaydını ve süreç enjeksiyonlarını en aza indiriyor. Ayrıca aynı cihazı tekrar tekrar istismar etmekten kaçınmak amacıyla tarayıcı depolama alanını kullanıyor. Güvenlik uzmanları, bu değişikliklerin basit yapay zeka destekli modifikasyonlardan ziyade operatörler tarafından yürütülen ciddi bir mühendislik çalışmasının ürünü olduğunu ifade ediyor.
Doğrudan Veri Çalma ve İki Yönlü Komuta-Kontrol Altyapısı
Yeni varyantın en dikkat çekici teknik özelliklerinden biri, veri toplama mekanizmasındaki değişiklikler. P7 DarkSword, tüm Keychain veritabanını kopyalayıp başka bir yerde işlemden geçirmek yerine, iPhone üzerinde doğrudan anahtar zinciri verilerini çıkarabiliyor. Bunun yanı sıra kripto cüzdan verilerini de hedef alabilen casus yazılım, saldırganların altyapısıyla gelişmiş iki yönlü bir komuta-kontrol iletişimi kuruyor.
Bu çift yönlü iletişim kanalı sayesinde saldırganlar enfekte olmuş cihaz üzerinde çok daha geniş bir kontrol alanına sahip oluyor. Varsayılan olarak her 15 saniyede bir veya komutla değiştirilebilen aralıklarla sunucuya bağlanan P7; rastgele dosyaları getirme, fotoğraf yükleme, yüklü uygulamaları envantere kaydetme, Apple Notlar veritabanına erişme, bireysel uygulama kapsayıcılarından veri toplama ve dosya sistemini tarama yeteneklerini barındırıyor.
Dağıtım Yöntemi ve Belirsizlikler
Araştırmacılara göre P7, sıfır gün açığı olmaktan ziyade, başarılı bir DarkSword sızma girişiminin ardından cihaza kurulan ikincil bir zararlı yazılım versiyonu olarak görev yapıyor. Tehdit aktörünün P7'yi bireysel hedefli saldırılar yerine kötü amaçlı reklamlar ve suliet saldırıları yoluyla dağıttığı, bu nedenle kurbanların doğrudan seçilmiş olmayabileceği belirtiliyor.
iVerify, ağustos ayında inceledikleri cihazın tam olarak hangi iOS sürümünü çalıştırdığına dair bilgi paylaşmazken, P7'nin gelişmiş gizlenme yetenekleri nedeniyle daha önceki uzlaşma göstergelerinin artık geçerli olmadığını vurguluyor.
