iPhone kullanıcılarını hedef alan DarkSword casus yazılımının yeni bir sürümü olan P7 DarkSword ortaya çıktı. Bu zararlı yazılım, güvenlik güncellemeleri yüklenmemiş cihazlara sızarak kişisel verileri ele geçirebiliyor.
Siber güvenlik şirketi iVerify tarafından keşfedilen bu sürüm, önceki versiyonlardan farklı olarak saldırganların uzaktan komut göndermesine olanak tanıyor. Yazılım, cihazdaki kayıtlı parolalardan kripto para cüzdanlarına kadar birçok hassas veriye erişim sağlayabiliyor.
P7 DarkSword’un Teknik Özellikleri ve Yetenekleri
Yeni sürüme verilen P7 DarkSword ismi, saldırganların orijinal kodda yaptıkları değişikliklerde kullandıkları p7_ değişken önekinden geliyor. İncelenen yazılımın önceki sürümlere kıyasla cihazda daha az iz bıraktığı ve daha kararlı çalıştığı belirlendi.
DarkSword ilk olarak 2026’nın başlarında Google ve iVerify tarafından tespit edilmişti. Coruna ile birlikte güncel olmayan iOS sürümlerindeki birden fazla güvenlik açığını zincirleme biçimde kullanarak iPhone’ların ele geçirilmesine imkan tanıyordu.
Saldırganlar, bu açıklar üzerinden cihazın güvenlik mekanizmalarını aşarak ek zararlı yazılımlar çalıştırabiliyor. Daha önce Suudi Arabistan, Türkiye, Malezya ve Ukrayna’da DarkSword kullanan saldırı kampanyaları tespit edildi.
P7 DarkSword’un dağıtımında kötü amaçlı reklamlar ve ele geçirilmiş internet siteleri kullanılıyor. Güvenlik açığı bulunan bir iPhone üzerinden zararlı içeriğin bulunduğu internet sayfasının ziyaret edilmesi, saldırı zincirinin çalışması için yeterli olabiliyor.
Yazılımın en önemli değişikliklerinden biri, iPhone’un Anahtar Zinciri verilerine erişim biçiminde görülüyor. P7 DarkSword, ilgili verileri doğrudan iPhone üzerinde çıkarıp JSON biçimine dönüştürdükten sonra dışarı gönderiyor.
Casus yazılım, cihazda yüklü kripto para cüzdanlarını da tarayabiliyor. İncelenen sürümün komutları arasında imToken cüzdan uygulamasına yönelik özel bir veri çıkarma işlevi de bulunuyor.
P7 DarkSword’un dikkat çeken diğer özelliği, saldırganların komuta ve kontrol sunucularıyla çift yönlü iletişim kurabilmesi. Zararlı yazılım, iOS’un ana ekran ve sistem arayüzünden sorumlu SpringBoard işlemine yerleşerek saldırganların altyapısıyla iletişim sağlıyor.
Normal çalışma düzeninde her 15 saniyede bir sunucuyla bağlantı kurarak yeni komut olup olmadığını kontrol ediyor. Bu bağlantı aralığı saldırganlar tarafından uzaktan değiştirilebiliyor.
Uzaktan gönderilen komutlarla iPhone’daki dosyalar okunabiliyor ve fotoğraflar dışarı aktarılabiliyor. Apple Notlar uygulamasının veritabanlarına erişim ve cihazın dosya sisteminin taranması da yazılımın yetenekleri arasında bulunuyor.
Güvenlik Güncellemeleri ve Korunma Yolları
Apple, söz konusu güvenlik açıklarına karşı iOS 15.8.7, iOS 16.7.15 ve iOS 18.7.7 dahil olmak üzere çeşitli güvenlik güncellemeleri yayımladı. Şirket, yeni işletim sistemine geçmeyen kullanıcıların ilgili açıklara karşı korunmasını sağlamak için bu güncellemeleri sundu.
P7 DarkSword’un keşfi yeni bir iOS güvenlik açığının bulunduğu anlamına gelmiyor. Burada değişen unsur, DarkSword saldırı zinciriyle ele geçirilen cihazlarda çalışan casus yazılımın kendisi.
Apple’ın daha önce yayımladığı güvenlik düzeltmeleri, DarkSword saldırı zincirinde kullanılan açıkları kapatıyor. Bu nedenle iPhone kullanıcılarının cihazları için sunulan güncel güvenlik sürümlerini yüklemesi gerekiyor.
Özellikle hedefli casus yazılım saldırılarına maruz kalma riski bulunan kullanıcılar, iOS’un Ayarlar bölümündeki Gizlilik ve Güvenlik menüsünden Kilit Modu’nu da etkinleştirebiliyor. Yazılımın gizlenme mekanizması, hata ayıklama kayıtlarını azaltarak tespit edilmesini zorlaştırıyor.
Geliştiricilerin yaptığı değişiklikler, daha önce kullanılan bazı zararlı yazılım tespit göstergelerinin yeni sürümü yakalamakta yetersiz kalmasına neden oldu. İncelenen kodda, yazılımın çalışma biçimini değiştiren kapsamlı teknik müdahaleler bulunuyor.
