iPhone kullanıcılarını hedef alan yeni casus yazılım: P7 DarkSWord yayılıyor

Siber güvenlik şirketi iVerify, iPhone kullanıcılarını hedef alan DarkSword casus yazılımının yeni bir sürümü olan P7 DarkSWord'ü keşfetti. Bu zararlı yazılım, güvenlik güncellemeleri yüklenmemiş cihazlara sızarak kayıtlı parolalardan kripto para cüzdanlarına kadar pek çok hassas veriye erişim sağlayabiliyor.

Yeni sürüme verilen isim, saldırganların orijinal kod üzerinde gerçekleştirdikleri değişikliklerde kullandıkları p7_ değişken önekinden geliyor. İncelenen yazılımın önceki sürümlere kıyasla cihazda daha az iz bıraktığı ve daha kararlı çalıştığı belirlendi.

DarkSword, ilk olarak 2026'nın başlarında Google ve iVerify tarafından fark edilmişti. Coruna adlı araçla birlikte, güncel olmayan iOS sürümlerindeki birden fazla güvenlik açığını zincirleme biçimde kullanarak iPhone'ların ele geçirilmesine imkân tanıyordu.

Türkiye de hedef ülkeler arasında

Saldırganlar, bu açıklar üzerinden cihazın güvenlik mekanizmalarını aşarak ek zararlı yazılımlar çalıştırabiliyor. Daha önce Suudi Arabistan, Türkiye, Malezya ve Ukrayna'da DarkSword kullanan saldırı kampanyaları tespit edilmişti.

P7 DarkSWord'ün dağıtımında şu yöntemler kullanılıyor:

• Kötü amaçlı reklamlar
• Ele geçirilmiş internet siteleri

Güvenlik açığı bulunan bir iPhone üzerinden zararlı içeriğin bulunduğu internet sayfasının ziyaret edilmesi, saldırı zincirinin çalışması için yeterli olabiliyor.

Yazılımın en önemli değişikliklerinden biri, iPhone'un Anahtar Zinciri verilerine erişim biçimi olarak öne çıkıyor. P7 DarkSWord, ilgili verileri doğrudan cihaz üzerinde çıkarıp JSON biçimine dönüştürdükten sonra dışarı gönderiyor. Casus yazılım ayrıca cihazda yüklü kripto para cüzdanlarını da tarayabiliyor. İncelenen sürümün komutları arasında imToken cüzdan uygulamasına yönelik özel bir veri çıkarma işlevi de bulunuyor.

P7 DarkSWord'ün dikkat çeken diğer bir özelliği, saldırganların komuta ve kontrol sunucularıyla çift yönlü iletişim kurabilmesi. Zararlı yazılım, iOS'un ana ekran ve sistem arayüzünden sorumlu SpringBoard işlemine yerleşerek saldırganların altyapısıyla iletişim sağlıyor. Normal çalışma düzeninde her 15 saniyede bir sunucuyla bağlantı kurarak yeni komut olup olmadığını kontrol ediyor. Bu bağlantı aralığı saldırganlar tarafından uzaktan değiştirilebiliyor.

Uzaktan gönderilen komutlarla iPhone'daki dosyalar okunabiliyor ve fotoğraflar dışarı aktarılabiliyor. Yazılımın sahip olduğu yetenekler arasında şunlar yer alıyor:

• Apple Notlar uygulamasının veritabanlarına erişim
• Cihazın dosya sisteminin taranması
• Fotoğraf ve dosyaların dışarı aktarılması

Yazılımın gizlenme mekanizması, hata ayıklama kayıtlarını azaltarak tespit edilmesini zorlaştırıyor. Geliştiricilerin yaptığı değişiklikler, daha önce kullanılan bazı zararlı yazılım tespit göstergelerinin yeni sürümü yakalamakta yetersiz kalmasına neden oldu.

Apple, söz konusu güvenlik açıklarına karşı iOS 15.8.7, iOS 16.7.15 ve iOS 18.7.7 dahil olmak üzere çeşitli güvenlik güncellemeleri yayımladı. Şirket, yeni işletim sistemine geçmeyen kullanıcıların ilgili açıklara karşı korunmasını sağlamak için bu güncellemeleri sundu.

P7 DarkSWord'ün keşfi, yeni bir iOS güvenlik açığının bulunduğu anlamına gelmiyor. Burada değişen unsur, DarkSword saldırı zinciriyle ele geçirilen cihazlarda çalışan casus yazılımın kendisi. Apple'ın daha önce yayımladığı güvenlik düzeltmeleri, DarkSword saldırı zincirinde kullanılan açıkları zaten kapatıyor.

Bu nedenle iPhone kullanıcılarının cihazları için sunulan güncel güvenlik sürümlerini yüklemesi büyük önem taşıyor. Özellikle hedefli casus yazılım saldırılarına maruz kalma riski bulunan kullanıcılar, iOS'un Ayarlar bölümündeki Gizlilik ve Güvenlik menüsünden Kilit Modu'nu da etkinleştirebiliyor.