DarkSword saldırısı iOS ve Android'i hedef aldı

Araştırmacılar, Kremlin bağlantılı olabilecek hackerların daha önce yamalanmış iOS ve Android açıklarını kullandığını açıkladı. Ayrıca DarkSword saldırısı adıyla anılan operasyon, birçok sitenin ziyaretçisini hedef aldı. Özellikle bu sitelerden biri, ABD'nin bağımsızlığının 250. yılını kutluyor.

DarkSword saldırısı kimi işaret ediyor?

Araştırmacılar, saldırganların Rusya Dış İstihbarat Servisi'nin parçası olduğunu "orta ile yüksek güvenle" değerlendiriyor. Yani bu bir değerlendirme ve ifadeden de bu anlaşılıyor. Bu nedenle DarkSword saldırısı için kesin bir hüküm yerine güven düzeyi öne çıkıyor.

Öte yandan saldırganlar, çoğu Rusya'nın Ukrayna'ya karşı sürdürdüğü savaşla bağlantılı başka siteleri de hedef aldı. Dolayısıyla operasyon tek bir adresle sınırlı kalmadı. Üstelik hedef listesi geniş görünüyor.

Saldırı nasıl işliyor?

Saldırı, iPhone ya da Android kullanan birinin hedeflenen sitelerden birini açmasıyla başlıyor. Bu sitelerin sayısı ise potansiyel olarak yüzlerce. Ardından trafiğe enjekte edilen JavaScript kodu devreye giriyor ve önce cihazın profilini çıkarıyor.

Bundan sonra son yük (payload) giriyor. Yani cihaza bırakılan asıl zararlı yazılım, ziyaret edilen platforma göre özel hazırlanıyor. Çünkü her cihaz için aynı yazılım kullanılmıyor. Bu yazılımlar tarayıcı çerezlerini çalmaya çalışıyor.

Bazı durumlarda ise Wi-Fi parolalarını ve cihazdaki tüm mobil verileri de hedef alıyor. Bununla birlikte bu veriler, saldırganlara ziyaretçiler hakkında geniş bir bilgi alanı açabilir. Ancak hangi durumda hangi verinin çalındığı, platforma göre değişiyor.

america250.org taklit edildi

Taklit edilen sitelerden biri america250.org oldu. Bu site, partizan olmayan bir milletvekili ve iş insanı grubuna ait. Ayrıca grupta Trump yönetiminin en az bir eski üyesi de bulunuyor.

Saldırganlar bunun için america250[.]holiday alan adını kaydettirdi. Bu adres, gerçek siteye giden bir ters proxy gibi çalıştı. Böylece sahte site, içeriği gerçek siteden alıp sayfaya zararlı JavaScript ekleyerek sundu. Bu yüzden ziyaretçi, gerçek siteye benzeyen bir sayfa gördü.

Kullanılan açıkların daha önce yamalandığını da belirtmek gerekiyor. Bu nedenle iOS ve Android cihazlarını güncel tutmayan kullanıcılar risk altında. Nitekim DarkSword saldırısı, yamalanmış açıkların güncellenmemiş cihazlarda hala iş görebildiğini gösteriyor.

Son olarak, araştırmacıların bildirdiği bilgilere göre saldırı bulguları 5 Kasım 2026 Çarşamba günü paylaşıldı. Dolayısıyla DarkSword saldırısı hakkındaki ilk teknik ayrıntılar bu tarihte kamuoyuna ulaştı.