iPhone’ları hedef alan casus yazılım tehdidi büyüyor: Tıklamaya gerek kalmıyor

iPhone kullanıcılarını hedef alan yeni casus yazılım kampanyaları, kötü amaçlı bağlantıya tıklamayı veya dosya indirmeyi gerektirmeden cihazları ele geçirebiliyor. iVerify ve Report URI tarafından yürütülen incelemelerde, Instagram reklamları ile meşru internet sitelerinde kullanılan eski üçüncü taraf kodlarının, güvenlik açığı bulunan iPhone’lara casus yazılım bulaştırmak için kullanıldığı belirlendi.

Saldırganların temel hedefinin giriş bilgileri, cihazda saklanan hassas veriler ve kripto para cüzdanlarına erişim sağlamak olduğu bildirildi. Araştırmacılar, geçmişte daha çok gazeteciler, siyasetçiler ve yüksek profilli kişilere yönelik kullanılan gelişmiş iOS istismar zincirlerinin artık finansal kazanç amacıyla daha geniş kullanıcı gruplarına karşı da kullanılabildiğine dikkat çekti.

INSTAGRAM REKLAMI ÜZERİNDEN OTOMATİK SALDIRI

iVerify’nin incelemesine göre, bir finans kuruluşunda çalışan kişinin iPhone’u, Instagram akışında karşısına çıkan profesyonel futbol temalı bir reklamın görüntülenmesinin ardından hedef alındı. Kullanıcının reklamda yer alan bir bağlantıya tıklamadığı, yalnızca uygulama içindeki akışı görüntülediği belirtildi.

Reklam yüklenirken çalışan kötü amaçlı kod, önce cihazın işletim sistemi ve teknik özellikleri hakkında bilgi topladı. Sistem, iPhone’un saldırıya açık olup olmadığını belirledikten sonra uygun istismar zincirini devreye soktu. İncelenen olayda saldırganların giriş bilgilerini ele geçirmeye ve cihazda bulunan kripto para cüzdanlarını taramaya çalıştığı aktarıldı.

iVerify, bu saldırıda DarkSword olarak bilinen iOS istismar kitinin P7 adı verilen bir varyantının kullanıldığını açıkladı. Şirketin verilerine göre bu tür saldırılar, kullanıcıdan açık bir onay veya dosya yüklemesi istemeden tarayıcı ve uygulama içinde otomatik olarak çalışan reklam bileşenlerinden yararlanıyor.

ESKİ ALAN ADLARI YENİDEN SALDIRI ALTYAPISINA DÖNÜŞTÜRÜLDÜ

Report URI tarafından tespit edilen ikinci yöntemde ise saldırganların, daha önce analiz, reklam, canlı sohbet veya benzeri hizmetlerde kullanılmış ancak kayıt süresi dolmuş alan adlarını satın aldığı belirlendi. Bu alan adlarına ait kodları internet sitelerinden kaldırılmayan ziyaretçi izleme etiketleri, saldırganların kontrolüne geçtikten sonra kötü amaçlı içerik dağıtmak için kullanılmaya başlandı.

Araştırmanın ilk aşamasında yaklaşık 630 alan adının bu yöntemle yeniden kaydedildiği ve yaklaşık 8 bin meşru internet sitesinin söz konusu alan adlarından kod çağırmayı sürdürdüğü tespit edildi. İnceleme genişletildikçe kötüye kullanılan süresi dolmuş ve yeniden kaydedilmiş alan adı sayısının 660’ın üzerine çıktığı bildirildi.

Bu sistemde internet sitesinin sahibi, sayfasına yeni bir zararlı kod eklemese bile risk oluşabiliyor. Ziyaretçinin tarayıcısı, sayfa yüklenirken eski üçüncü taraf hizmetinin kodunu otomatik olarak çağırıyor. Alan adı artık saldırganların kontrolündeyse bu kod, iPhone kullanıcısını istismar kitinin bulunduğu sunuculara yönlendirebiliyor.

CORUNA VE DARKSWORD İSTİSMAR KİTLERİ KULLANILIYOR

iVerify ve Report URI’nin ortak araştırmasında, saldırı altyapısında Coruna ve DarkSword adlı iOS istismar kitlerinin kullanıldığı belirtildi. Coruna’nın daha eski iOS sürümlerini, DarkSword’un ise daha yeni ancak güncellenmemiş iPhone’ları hedefleyebildiği aktarıldı.

Araştırmacılara göre bu kitler, tarayıcıdaki bir güvenlik açığından başlayarak işletim sisteminin daha yüksek yetkili bölümlerine ulaşmayı amaçlıyor. Başarılı olması halinde saldırganlar, cihazın anahtar zincirinde saklanan parolalara, kablosuz ağ bilgilerine, mesajlara, tarayıcı geçmişine ve bazı uygulama verilerine erişebiliyor. Kripto para cüzdanlarına ait dosyalar da hedeflenen bilgiler arasında yer alıyor.

Saldırılar teknik olarak her kullanıcıda aynı şekilde çalışmıyor. Kötü amaçlı altyapı, cihazın işletim sistemi sürümünü, tarayıcı özelliklerini ve hedefin saldırganlar açısından değer taşıyıp taşımadığını kontrol edebiliyor. Uygun koşullar bulunmadığında saldırı zincirinin durdurulabildiği, bu nedenle kötü amaçlı kodun güvenlik taramalarında her zaman görünür olmayabileceği ifade edildi.

“SIFIR TIKLAMA” İFADESİNE DİKKAT

Uzmanlar bu kampanyaları genel olarak “zero-click” veya “sıfır tıklama” saldırılarıyla ilişkilendiriyor. Ancak iVerify’nin incelediği reklam ve web sitesi örneklerinde, kullanıcının kötü amaçlı bir bağlantıya tıklaması ya da dosya indirmesi gerekmese de Instagram akışını görüntülemesi veya saldırıya açık bir internet sitesini ziyaret etmesi gerekiyor.

Bu nedenle söz konusu yöntem, geleneksel oltalama saldırılarından farklı olarak kullanıcıyı ikna etmeye daha az ihtiyaç duyuyor. Kullanıcının şüpheli bir bağlantıya basmaması, saldırı altyapısının bir reklam veya üçüncü taraf hizmet üzerinden otomatik olarak yüklenmesini her zaman engellemeyebiliyor.

AL JAZEERA CİHAZLARI DA HEDEF ALINDI

Toronto Üniversitesi bünyesindeki Citizen Lab’in 15 Ekim 2026’da yayımladığı ayrı bir araştırma da hedefli reklamların casus yazılım dağıtımında kullanılabildiğini ortaya koydu. Araştırmacılar, 2024 ve 2025 yıllarında Al Jazeera bünyesinde kullanılan en az 45 cihazın, hedefli çevrim içi reklamlar üzerinden Candiru ile ilişkilendirilen casus yazılım kampanyasının hedefi olduğunu bildirdi.

Bu olay, reklam teknolojilerinin yalnızca geniş kitlelere ulaşmak için değil, belirli cihazları ve kullanıcı gruplarını seçerek gelişmiş casus yazılımları dağıtmak için de kullanılabileceğini gösterdi. Citizen Lab, söz konusu kampanyayı hedefli reklam altyapısı ile ticari casus yazılım ekosistemi arasındaki bağlantıyı ortaya koyan önemli örneklerden biri olarak değerlendirdi.

GÜNCELLEME YAPILMAMIŞ İPHONE’LAR RİSK ALTINDA

Araştırmacılar, saldırıların belirli iOS güvenlik açıklarından yararlandığını ve Apple’ın yayımladığı güncellemelerin bu açıkların bir bölümünü kapattığını belirtti. Bu nedenle iPhone kullanıcılarının işletim sistemi güncellemelerini ertelememesi, özellikle güvenlik düzeltmeleri içeren sürümleri mümkün olan en kısa sürede yüklemesi öneriliyor.

Güvenlik uzmanları ayrıca kurumsal cihazlarda saklanan hesap bilgilerinin, bir telefonun ele geçirilmesi halinde risk altına girebileceği uyarısında bulundu. Şüpheli bir olaydan kuşkulanılması durumunda parolaların güvenilir başka bir cihaz üzerinden değiştirilmesi ve kurumsal güvenlik ekiplerine bilgi verilmesi gerekiyor.

iVerify ve Report URI’nin bulguları, iPhone’lara yönelik gelişmiş saldırıların yalnızca belirli kişileri hedefleyen sınırlı operasyonlar olmaktan çıktığını gösteriyor. Reklam ağları, eski alan adları ve internet sitelerinin güncellenmeyen üçüncü taraf bileşenleri, güvenlik açığı bulunan cihazlara ulaşmak için birlikte kullanılabiliyor.