APT29, ele geçirilen sitelerle iOS ve Android'e tıklama gerektirmeyen saldırılar yaptı

Güvenlik şirketi Sekoia, 4 Kasım’da yayımladığı raporda, Ekim ortasında geniş çaplı bir sulama deliği (watering hole) kampanyası tespit ettiğini açıkladı. Sekoia’ya göre saldırganlar ABD, Ukrayna, Çekya ve Bulgaristan’daki çok sayıda tanınmış siteyi ele geçirdi ya da kopyaladı ve bu sitelere giren iOS ve Android kullanıcılarının cihazlarına, daha önce kapatılmış açıklardan (n-day) oluşan istismar zincirleri gönderdi. Saldırılar kullanıcının bir şeye tıklamasını gerektirmiyordu.

Sekoia, kampanyayı orta ile yüksek arasında bir güvenle, yaygın olarak Rusya Dış İstihbarat Servisi’ne (SVR) bağlanan APT29’a (Midnight Blizzard, Cozy Bear) bağlıyor. Şirket bu değerlendirmeyi teknik örtüşmelere, çalışma biçimine, hedeflere ve altyapıya dayandırıyor.

Saldırı yolları

Sekoia’ya göre saldırganlar üç yol kullandı:

• Ele geçirilen siteler: İlk tespit, Ukraynalı bir doğal gaz üretim şirketinin sitesine eklenen zararlı JavaScript koduyla yapıldı. Ele geçirilen siteler arasında ABD’de kimya sektöründeki şirketleri temsil eden büyük bir sektör derneği, Avrupa’da aşırı sağcı bir siyasi parti ve Bulgaristan’da askeriyeyle ilgili bir site de var.
• Taklit siteler: Saldırganlar, ABD’nin 250. bağımsızlık yıl dönümü etkinliklerinin resmî sitesi America250’yi ve Londra’daki Raffles London at The OWO otelinin sitesini taklit eden alan adları kaydetti. Bu siteler gerçek siteyi araya girerek (Adversary-in-the-Middle benzeri bir yöntemle) aynen gösterip sayfaya zararlı kod ekliyordu. Sekoia’ya göre otelin Londra’daki önemli devlet kurumlarına yakınlığı nedeniyle saldırganlar diplomatik heyetleri ve önemli konukları hedeflemiş olabilir.
• Plerdy betiği: Saldırganlar 27 Ağustos ile 3 Eylül 2026 arasında, çoğu Ukrayna’da olmak üzere binlerce sitenin kullandığı Ukraynalı analiz hizmeti Plerdy’nin izleme betiğini ele geçirdi. Sekoia’ya göre bu siteler arasında ordu, özel kuvvetler ve askeri ekipmanla ilgili siteler de var.

İstismar zincirleri

Sekoia’ya göre üç yolda da sayfaya eklenen kod, ziyaretçinin cihaz ve tarayıcı bilgilerini toplayan bir betik yüklüyordu. Saldırganların sunucusu bu bilgilere göre uygun istismar zincirini gönderiyordu:

• iOS 16.7: CVE-2025-43529 ve CVE-2024-27834 kullanılarak Safari’deki çerezler çalındı.
• iOS 18.5: CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 ve CVE-2025-43520 kullanılarak cihazdaki veriler toplandı. BleepingComputer’a göre bunlar arasında WhatsApp ve Telegram veritabanları, Anahtar Zinciri (Keychain) bilgileri, konum verileri ve fotoğraflar var.
• Android’de Chrome 139 ile 145 (143 hariç): CVE-2026-3910 ve Adreno grafik sürücüsündeki CVE-2025-27038 kullanılarak Chrome çerezleri ve kayıtlı Wi-Fi parolaları çalındı.

Sekoia’ya göre zincirlerden biri, Eylül 2026’da VirusTotal’e yüklenen ve ticari bir casus yazılım üreticisinin geliştirdiğinden şüphelenilen DarkSword adlı iOS istismar kiti. Gönderilen zararlılar cihazda kalıcı olmuyordu, yani cihaz yeniden başlatıldığında çalışmaları duruyordu. Şirkete göre Android zinciri, cihazın Samsung Galaxy S25 Ultra olduğunu tespit ettiğinde istismarı durduruyordu. BleepingComputer’a göre Apple ve Google kampanyada hedeflenen açıkların hepsini kapattı.

Değerlendirme

Sekoia’ya göre doğrudan ele geçirilen sitelerde belirgin bir sektör örüntüsü yok ve hedefler arasında Avustralya’daki bir sağlık kliniği gibi ilgisiz görünen kurumlar da var. Şirket, bu sitelerin kendisinin göremediği istihbarata dayanarak belirli kişileri hedeflemek için seçilmiş olabileceğini değerlendiriyor. Sekoia’ya göre kampanya, ticari casus yazılım üreticilerinin geliştirdiği istismar kitlerinin devlet destekli gruplar tarafından yeniden kullanıldığını da doğruluyor. Şirket bunun gelişmiş mobil saldırıların maliyetini düşürdüğünü belirtiyor.

Sekoia, Ukrayna’nın siber olaylara müdahale ekibi CERT-UA’ya iş birliği için, Google’ın tehdit analiz grubu TAG’e de istismarları ve CVE’leri belirlemedeki yardımı için teşekkür etti. Şirket bazı saldırı göstergelerini raporda paylaşmadı. Bunları ulusal CERT’lerle ve kolluk kuvvetleriyle paylaşabileceğini belirtiyor.