APT29 Bağlantılı Bilgisayar Korsanları Ele Geçirilmiş Analitik Komut Dosyasıyla iOS ve Android'i Hedef Alıyor

APT29 ile bağlantılı bir tehdit aktörünün, ele geçirilmiş web siteleri, sahte alan adları ve Ukraynalı web analitik hizmeti Plerdy SEO Tracker'ı içeren bir tedarik zinciri saldırısı aracılığıyla iOS ve Android kullanıcılarını hedef alan büyük ölçekli bir watering hole kampanyasının arkasında olduğu söyleniyor. Sekoia araştırmacıları Amaury-Jacques Garçon ve Félix Aime, enjekte edilen JavaScript'in tarayıcı ve cihaz özelliklerini topladığını, ardından altyapının platforma özgü bir N-day exploit zinciri sunduğunu söyledi. Poisoned Source kod adlı kampanya, 2026 Ekim ortasında keşfedildi ve tarayıcı çerezlerini, bazı durumlarda ise Wi-Fi parolalarını veya tam mobil cihaz verilerini çalan yükler sunmayı amaçlıyor.

Enfeksiyon Yolları

Sekoia üç enfeksiyon vektörü belirledi: kötü amaçlı JavaScript enjekte etmek için meşru web sitelerinin ele geçirilmesi; ABD, Ukrayna, Çek Cumhuriyeti ve Bulgaristan'daki yüksek profilli web siteleri gibi görünen taklit siteler, bunlar arasında america250[.]holiday de bulunuyor; ve 27 Ağustos ile 3 Eylül 2026 arasında a.plerdy[.]com/public/js/click/main.js dosyasına kötü amaçlı kod enjekte edilerek yapılan Plerdy SEO Tracker tedarik zinciri saldırısı.

Ele geçirilen bazı siteler arasında ABD'deki kimya sektörü şirketlerini temsil eden büyük bir sanayi derneği, aşırı sağcı bir Avrupa siyasi partisi ve Bulgaristan'a ait askeri konulu bir web sitesi yer alıyor. Sekoia, saldırganların belirli web sitelerinin ziyaretçilerini hedeflemeyi mi amaçladığı yoksa mümkün olduğunca çok yamalanmamış mobil cihazı ele geçirmeyi mi amaçladığı konusunun belirsizliğini koruduğunu söyledi. Araştırmacılar, Rusya-Ukrayna savaşı bağlamında birkaç sitenin yüksek değerli veya stratejik açıdan önemli ziyaretçiler çekmesinin muhtemel olduğunu ve tedarik zinciri saldırısının ordu, özel kuvvetler ve askeri ekipman web siteleri gibi yüksek değerli hedeflere de yayıldığını belirtti.

Exploit Zincirleri

Tüm yöntemler, ziyaretçinin cihazını ve tarayıcısını profillemesinin ardından uygun sonraki aşama kötü amaçlı yazılımı sunan bir JavaScript yükleyicisine yol açar. iOS kullanıcıları için bu, çerezleri ve tam cihaz verilerini toplayan DarkSword adlı exploit kitine yönlendirir. Android'de kötü amaçlı yazılım, sistemde kalıcılık sağlamadan Chrome verilerini ve Wi-Fi parolalarını dışarı sızdırabilir.

Araştırmacılar üç exploit sınıfı belirledi. A Sınıfı, iOS 16.7 çalıştıran cihazları hedef alır ve çerez çalmak için JavaScript kötü amaçlı yazılımı dağıtmak üzere CVE-2025-43529 ve CVE-2024-27834 güvenlik açıklarını sömürür. B Sınıfı, iOS 18.5 çalıştıran cihazları hedef alır ve tam cihaz verisi dışarı sızdırma için JavaScript kötü amaçlı yazılımı dağıtmak üzere CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 ve CVE-2025-43520 güvenlik açıklarından oluşan DarkSword exploit zincirini sömürür. C Sınıfı, 143 sürümü hariç 139'dan 145'e kadar Chrome sürümlerini çalıştıran Android cihazlarını hedef alır ve uzaktan kod çalıştırma, sandbox kaçışı, yetki yükseltme ve Chrome verileri ile Wi-Fi parolalarını toplamak için AndroSnitch dağıtımını sağlamak üzere CVE-2026-3910 ve CVE-2025-27038 güvenlik açıklarını sömürür.

Her üç durumda da dışarı sızdırılan veriler ad.starx-net[.]com:8881/telemetry/v12 adresine gönderilir. Android saldırı zinciri, hedef cihazın model tanımlayıcısı SM-S938B'yi inceleyerek Samsung Galaxy S25 Ultra olup olmadığını kontrol eder ve cihaz eşleşirse sömürmeyi sonlandırır.

Kaynaklar: The Hacker News