APT29 Saldırısı iOS ve Android Kullanıcılarını Hedefliyor: Yamalanmış Açıklar Kullanıldı

Bir APT29 saldırısı olarak değerlendirilen kampanyada, saldırganlar iPhone ve Android kullanıcılarını ele geçirmek için ele geçirilmiş ve taklit edilmiş web sitelerini kullandı. Fransız siber güvenlik şirketi Sekoia'nın 4 Kasım 2026'da yayımladığı rapora göre saldırganlar, yeni bir açık değil, üreticilerin daha önce kapattığı güvenlik açıklarını kullandı. Yani güncel sürümü çalıştıran cihazlar bu zincirlerden etkilenmiyor.

APT29 saldırısı nasıl işliyor?

Sekoia, kampanyayı Ekim 2026 ortasında fark ettiğini söylüyor. Saldırı, kullanıcıdan tıklama ya da onay istemiyor; zararlı sayfayı açmak yeterli. Rapordaki akış şöyle:

• Bulaşma: Ziyaretçinin tarayıcısına, saldırganların kontrolündeki bir sunucudan ek bir JavaScript dosyası yükleniyor.
• Cihaz profili: Bu betik tarayıcı ve cihaz özelliklerini topluyor, ardından sunucu iOS ya da Android için uygun saldırı zincirini gönderiyor.
• Çalınan veri: Hedefe göre çerezler, bazı durumlarda Wi-Fi parolaları ya da cihazdaki geniş bir veri seti toplanıyor. Sekoia, çerezlerin çalınmasının saldırganların oturumları yeniden kullanıp web tabanlı e-posta gibi hizmetlere girmesine imkân verebileceğini belirtiyor.
• Kalıcılık: Sekoia, saldırganların cihazda kalıcılık sağlamaya çalışmadığını söylüyor.

Hangi siteler kullanıldı?

Sekoia üç farklı bulaşma yolu saptadı:

• Ele geçirilen siteler: Ukrayna'da bir doğal gaz üreticisinin sitesi dâhil birçok meşru sitenin şablonuna kötü amaçlı kod eklenmiş.
• Taklit siteler: Saldırganlar, doğrudan ele geçiremedikleri siteler için benzer alan adları kaydedip gerçek siteyi araya girerek yansıtmış ve sayfaya kod eklemiş. Bunlardan biri, ABD'nin bağımsızlığının 250. yıl dönümünü anan resmî girişim America250'nin sitesini taklit eden america250[.]holiday. Bir diğeri de Londra'daki bir otele benzetilmiş; Sekoia, Ukrayna Devlet Başkanı Zelenskiy'nin 14 Ekim'de bu otelde konakladığını not ediyor.
• Tedarik zinciri: Saldırganlar, 27 Ağustos ile 3 Eylül 2026 arasında binlerce site tarafından yüklenen, ağırlıklı olarak Ukrayna'daki sitelerde kullanılan Plerdy SEO izleyicisini bir hafta boyunca ele geçirmiş. Sekoia, saldırganların belirli sitelerin ziyaretçilerini mi hedeflediğinin yoksa güncellenmemiş mümkün olduğunca çok cihazı mı ele geçirmek istediğinin belirsiz olduğunu söylüyor.

Hangi cihazlar ve açıklar hedefleniyor?

Sekoia üç saldırı zinciri tanımlıyor:

• iOS 16.7: Çerezleri çalan zincir (CVE-2025-43529 ve CVE-2024-27834).
• iOS 18.5: Cihazdaki geniş veri setini toplayan zincir; beş CVE kullanıyor (CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 ve CVE-2025-43520). Bu zincirin bir parçası, Eylül 2026'da VirusTotal'a yüklendiği belirtilen ve ticari bir gözetim yazılımı satıcısı tarafından geliştirildiği şüphesiyle anılan DarkSword istismar kiti.
• Android Chrome 139–145 (143 hariç): Chrome çerezlerini ve Wi-Fi parolalarını çalan zincir (CVE-2026-3910 ve CVE-2025-27038).

Sekoia, üç zincirin de yalnızca bilinen ve yamalanmış açıklara dayandığını, içlerinde sıfır gün bulunmadığını ve tamamen güncel cihazlarda çalışmadığını vurguluyor. Dolayısıyla risk özellikle güncelleme almayan eski iPhone ve Android telefonlarda.

Saldırının arkasında kim var?

Sekoia, teknik örtüşmelere, operasyon alışkanlıklarına, hedef profiline ve altyapıya bakarak kampanyanın “orta ile yüksek güvenle” APT29 tarafından yürütüldüğünü değerlendiriyor. APT29, Midnight Blizzard, Cozy Bear ve The Dukes adlarıyla da biliniyor ve Rusya Dış İstihbarat Servisi (SVR) ile ilişkilendiriliyor. Burada kritik nokta: Bu, Sekoia'nın kesin bir kanıta değil, bir değerlendirmesine dayanan atıf.

Sekoia ayrıca etkilenen ülkelerin siber olaylara müdahale ekipleriyle (CERT) koordinasyon içinde olduğunu, mağdurların belirlenmesi ve saldırı altyapısının devre dışı bırakılması için çalıştığını söylüyor. Ars Technica'nın aktardığına göre hedeflenen sitelerin birçoğu Rusya'nın Ukrayna'ya karşı yürüttüğü savaşla bağlantılı.

Kendinizi nasıl korursunuz?

• Güncelleyin: iPhone'unuzu ve Android telefonunuzu üreticinin sunduğu en yeni sürüme getirin. Bu zincirlerin hiçbiri güncel sürümlerde çalışmıyor.
• Güncelleme alamayan cihazlar: iOS 16.7 çalışan eski iPhone'lar ve güvenlik yaması almayan Android telefonlar bu tür saldırılara açık. Mümkünse bu cihazları hassas hesaplar için kullanmayın.
• Chrome'u güncel tutun: Android'de tarayıcınızı Play Store'dan güncelleyin.
• Oturumları sonlandırın: Şüphe duyuyorsanız e-posta ve kritik hesaplarda tüm oturumları kapatıp parolayı değiştirin; çerez çalınması oturumu devralmaya yarayabilir.

Not: DarkSword'e daha önce de değinmiştik. Yeni iPhone casus yazılımı DarkSword yazımızda aracın daha önceki kullanımı ele alınıyor; bu yazıdaki kampanya aynı kitin yeni bir kullanımını gösteriyor.