Güvenlik araştırmacıları, Android ve iPhone kullanıcılarını hedef alan ve kurbanın yalnızca kötü amaçlı bir siteyi ziyaret etmesiyle çalışan geniş çaplı bir casusluk kampanyası tespit etti. Sekoia’nın incelemesine göre saldırganlar, güncellenmemiş Chrome tarayıcısındaki bir açık ile Qualcomm‘un Snapdragon çiplerinde kullanılan Adreno GPU sürücüsündeki bir zafiyeti birlikte kullanarak Android telefonlara sızdı. Bağlantıya tıklamaya, uygulama yüklemeye ya da herhangi bir izin vermeye gerek kalmadan, savunmasız bir Chrome sürümüyle siteyi açmak bile saldırı için yeterli oldu.
Saldırı zinciri nasıl işledi?
Araştırmacılara göre saldırı iki aşamada ilerliyordu. İlk aşamada, CVE-2026-3910 olarak izlenen Chrome açığı kullanılarak tarayıcı içinde kötü amaçlı kod çalıştırılıyordu. İkinci aşamada ise CVE-2025-27038 kodlu Adreno GPU sürücü açığı devreye giriyor; bu açık sayesinde saldırganlar Chrome’un güvenlik sanal ortamını (sandbox) kırarak cihazda çok daha derin bir erişim elde ediyordu. Kampanya, 139 ile 145 arasındaki Chrome sürümlerini çalıştıran Snapdragon tabanlı telefonları hedef aldı; her iki güvenlik açığı da üreticiler tarafından kapatıldı.
Hangi siteler kötüye kullanıldı?
Ars Technica’nın aktardığına göre saldırganlar hem gerçek siteleri ele geçirdi hem de sahte kopyalarını oluşturdu. Hedeflerden biri, ABD Anayasası’nın 250. yıldönümünü kutlamak için kurulan, partizan olmayan bir grup tarafından işletilen america250.org adlı siteydi. Saldırganlar, bu siteye ters proxy olarak çalışan america250[.]holiday adlı sahte bir alan adı kaydetti; sahte site gerçek içeriği gösterirken arka planda zararlı JavaScript kodu enjekte ediyordu. Benzer yöntemle Rusya’nın Ukrayna’ya yönelik savaşıyla bağlantılı başka siteler de hedef alındı; ziyaretçi profillemesi yapan kod, kullanıcının iOS mu Android mi kullandığını tespit edip buna göre özelleştirilmiş zararlı yük indiriyordu.
Bunlar da İlginizi Çekebilir
Çalınan veriler ve sorumluluk iddiası
Saldırganların hedefinde tarayıcı çerezleri, kayıtlı oturum açma bilgileri, tarama geçmişi ve bazı durumlarda Wi-Fi şifreleri ile cihazın tüm verileri vardı. Araştırmacıların değerlendirmesine göre, kesinleşmiş olmamakla birlikte kampanyanın arkasında orta ile yüksek güvenle Rusya’nın Dış İstihbarat Servisi’yle (SVR) bağlantılı bir grubun bulunduğu düşünülüyor. Güncel Chrome sürümünü ve son güvenlik yamalarını yükleyen telefonlar saldırıdan etkilenmedi. Türkiye’deki Snapdragon tabanlı Android telefon kullanıcıları için de bu kampanya önemli bir hatırlatma niteliğinde; tarayıcı ve sistem güncellemelerinin gecikmeden yapılması, benzer sıfırıncı gün (zero-day) tabanlı saldırılara karşı en etkili korumayı sağlıyor.
Kaynaklar:
YORUMLAR
(0)