Saldırılar, kullanıcıların belirli web sitelerini ziyaret etmesiyle tetiklenen ve cihaz bilgilerini toplayan JavaScript kodları aracılığıyla gerçekleştirildi.
Suistimal Edilen Siteler ve Hedefler
Saldırganlar, saldırı vektörü olarak Amerika Birleşik Devletleri'nin 250. kuruluş yıldönümü kutlamalarıyla ilişkili america250.org sitesini taklit eden america250[.]holiday alan adını kullandı. Bu sahte site, gerçek sitenin içeriğini sunarken zararlı JavaScript kodlarını enjekte etti. Araştırmacılar, saldırganların bu seçimin, yüksek profilli ulusal bir kutlamayı bahane olarak kullanarak hedefli balıkçılık (spear-phishing) kampanyaları yürütmek amacıyla yapılmış olabileceğini belirtti. Ayrıca, Londra'daki Savunma Bakanlığı ve Başbakanlık ofisine yakın konumlanan Raffles of London OWO otelinin web sitesini de taklit eden theowo[.]club alan adı kullanıldı. Bu otelde, Ukrayna Devlet Başkanı Volodymyr Zelenskyy'in Ekim ayındaki ziyareti sırasında konakladığı açık kaynak raporlarda yer almıştı.
Saldırı Mekanizması ve Teknik Detaylar
Saldırılar, üç ana vektör üzerinden gerçekleştirildi: Meşru web sitelerine doğrudan JavaScript enjeksiyonu, sahte proxy alan adları ve Ukrayna merkezli bir web analitik hizmetinin tedarik zinciri ihlali. Enjekte edilen kod, ziyaretçinin tarayıcı ve cihazını profilleyerek DarkSword gibi iOS exploit kitleri dahil olmak üzere üç farklı 'zero-click' (sıfır tıklama) istismar zincirinden birini devreye soktu. Bu istismarlar, kullanıcının herhangi bir etkileşimde bulunmasına gerek kalmadan tarayıcı çerezlerini, Wi-Fi şifrelerini ve bazı durumlarda mobil cihazın tüm verilerini çalmayı hedefledi. Sekoia, bu kampanyanın, APT29 olarak bilinen Rus grubuna atfedilen önceki saldırılarla benzerlik taşıdığını ve hedeflerin profiline dayalı olarak Kremlin bağlantılı olduğunu 'orta ile yüksek güven' düzeyinde değerlendirdi.
Güvenlik Uyarısı ve Etki Kapsamı
Kampanyada istismar edilen tüm güvenlik açıkları 'n-day' olarak sınıflandırılıyor; bu, açıkların daha önce yamalanmış olması ve saldırıların yalnızca güncel olmayan iOS veya Android sürümlerinde işe yaradığı anlamına geliyor. Araştırmacılar, kullanıcıların cihazlarını güncel tutmasının bu tür saldırılara karşı en etkili savunma yöntemi olduğunu vurguladı. Saldırının, diplomatik hedeflere ve Ukrayna-Rusya savaşına dair hassas bilgilere erişim sağlamayı amaçladığı değerlendiriliyor.
Yorumlar (0)
Henüz yorum yok. İlk yorumu siz yazın.