iPhone Android kullanıcılarını hedef alan sıfır tıklama saldırılarında, ele geçirilmiş internet siteleri üzerinden cihaz bilgileri, oturum çerezleri hassas veriler çalınmaya çalışıldı. Siber güvenlik şirketi Sekoia, Rusya bağlantılı APT29 grubuyla orta-yüksek güven düzeyinde ilişkilendirdiği kampanyada, iOS Android sistemlerindeki bilinen güvenlik açıklarından yararlanıldığını açıkladı. Apple Google hedef alınan açıklar için güvenlik yamaları yayınlarken kullanıcıların cihazlarını güncel tutması, saldırılara karşı korunmak açısından önem taşıyor.
Ele Geçirilen İnternet Siteleri Telefonlara Saldırı BaşlattıSekoia araştırmacılarının incelemesine göre saldırı kampanyası, ABD, Ukrayna, Çekya Bulgaristan’daki kullanıcıları hedef alan gerçek internet siteleri taklit sayfalar üzerinden yürütüldü. Ele geçirilen siteler arasında Ukraynalı doğal gaz üreticisinin, ABD’deki kimya sektörü kuruluşunun Bulgaristan’ askerî bağlantıları bulunan sitenin yer aldığı bildirildi. Saldırganlar ayrıca America250 adlı resmî girişimi Londra’daki Raffles London at The OWO otelini taklit eden alan adları kullandı.
Enjekte edilen JavaScript koduSaldırganlar, ziyaretçileri önce JavaScript koduyla karşılayan saldırı altyapısı kurdu. kullanıcının cihazını, işletim sistemi sürümünü tarayıcı sürümünü belirleyerek sonraki aşamada hangi güvenlik açığından yararlanılacağını seçti. Komuta kontrol sunucusu, toplanan teknik bilgilere göre uygun istismar zincirini gönderdi. Böylece kullanıcıların herhangi bağlantıya tıklaması veya dosya indirmesi gerekmeyen sıfır tıklama saldırıları gerçekleştirilebildi.
Araştırmacılar, Ukrayna merkezli web analiz hizmeti Plerdy’nin saldırganlar tarafından ele geçirildiğini tespit. Saldırganların hizmetin SEO izleme kodunu değiştirdiği, söz konusu kodun 27 Ağustos 3 Eylül arasında çoğunluğu Ukrayna’ bulunan binlerce internet sitesinde yüklendiği belirtildi. yöntem, zararlı kodun doğrudan saldırganların kontrolündeki sayfalarla sınırlı kalmadan geniş ziyaretçi kitlesine ulaşmasını sağladı.
Sekoia, saldırı zincirlerinde Apple cihazlarını hedefleyen birden fazla güvenlik açığından yararlanıldığını bildirdi. iOS 16.7 sürümünde CVE-2025-43529 CVE-2024-27834 açıklarının kullanıldığı, ilgili saldırı yükünün Safari tarayıcısında saklanan oturum çerezlerini ele geçirmeyi amaçladığı aktarıldı.
iOS 18.5 sürümüne yönelik zincirde ise CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 CVE-2025-43520 açıkları yer. Araştırmacılara göre zincir, Telegram veritabanlarıyla birlikte Apple Keychain sisteminde saklanan kimlik bilgilerini, konum verilerini fotoğrafları toplamayı hedefledi. Keychain, uygulamaların parola hassas bilgileri güvenli biçimde saklamasına yardımcı olan Apple altyapısıdır.
Kampanyada adı geçen CVE-2025-43529 açığı, Mart ayında belgelenen DarkSword istismar kitiyle ilişkilendiriliyor. Güvenlik araştırmacıları, birden fazla tehdit grubunun açıktan en az Kasım 2025’ten yana yararlandığını belirtiyor. durum, bilinen güvenlik açıklarının güncel olmayan cihazlarda ciddi veri hırsızlığı riskleri oluşturabildiğini gösteriyor.
Android cihazlara yönelik saldırılarda Chrome tarayıcısının 139 145 arasındaki sürümleri hedef alındı; araştırmacılar 143 numaralı sürümü belirtilen aralığın dışında tuttu. Saldırı zincirinde CVE-2026-3910 CVE-2025-27038 açıklarından yararlanıldığı bildirildi.
Saldırganların kullandığı AndroSnitch adlı bileşen, Chrome çerezlerini, oturum açma bilgilerini, tarama geçmişini kayıtlı Wi-Fi parolalarını toplamaya yönelik işlevler içeriyordu. tür veriler, kullanıcı hesaplarına erişmek veya çevrim içi etkinlikleri izlemek amacıyla kötüye kullanılabilir. Ancak araştırma, her hedef cihazda bütün veri türlerinin başarıyla ele geçirildiği anlamına gelmiyor.
Sekoia, ayrıca saldırı kodunda dört güvenlik açığı daha belirledi. Bununla birlikte araştırmacılar, açıkların analiz edilen saldırı zincirlerinde kullanılmadığını, erişilemeyen kod bölümlerinde veya alternatif istismar yollarında bulunduğunu açıkladı.
Sekoia, kampanyayı Rusya bağlantılı APT29 grubuna, adıyla Midnight Blizzard’a, orta-yüksek güven düzeyinde atfetti. Araştırmacılar değerlendirmeyi grubun geçmişteki benzer sulama deliği saldırılarıyla görülen teknik benzerliklere, altyapı örtüşmelerine iş ortağının 2025 tarihli APT29 kampanyasıyla ilişkilendirdiği ele geçirilmiş siteye dayandırdı. bulgular güçlü ilişkilendirme sunsa kesin kimlik doğrulaması anlamına gelmiyor.
Araştırmaya göre kullanılan saldırı yükleri cihazlarda kalıcı erişim oluşturmadı. Dolayısıyla cihazı yeniden başlatmak, mevcut kötü amaçlı etkinliği sonlandırabiliyordu; ancak kullanıcı yeniden ele geçirilmiş siteyi ziyaret ederse saldırı tekrar başlayabiliyordu. nedenle yalnızca telefonu yeniden başlatmak, güvenlik açığı kapatılmadığı sürece kalıcı çözüm oluşturmuyor.
Apple Google, kampanyada hedef alınan güvenlik açıklarının tamamı için yamalar yayınladı. Apple’ın bazı düzeltmeleri daha eski iOS sürümlerine ulaştırdığı bildirildi. Kullanıcıların iPhone, iPad Android cihazlarındaki işletim sistemi tarayıcı güncellemelerini yüklemesi, bilinen açıkların kötüye kullanılmasına karşı temel koruma adımını oluşturuyor. Kurumların ise internet sitelerindeki üçüncü taraf analiz kodlarını, eklentileri alan adı güvenliğini düzenli olarak kontrol etmesi gerekiyor.
