Siber güvenlik şirketi iVerify, iPhone kullanıcılarını hedef alan DarkSword casus yazılımının yeni bir sürümü olan P7 DarkSword’u keşfetti. Bu zararlı yazılım, güvenlik güncellemeleri yüklenmemiş cihazlara sızarak kayıtlı parolalardan kripto para cüzdanlarına kadar birçok hassas veriye erişim sağlıyor. Önceki versiyonlardan farklı olarak P7 DarkSword, saldırganların uzaktan komut göndermesine olanak tanıyor.
Yeni sürüme verilen isim, saldırganların orijinal kodda yaptıkları değişikliklerde kullandıkları p7_ değişken önekinden geliyor. İncelenen yazılımın önceki sürümlere kıyasla cihazda daha az iz bıraktığı ve daha kararlı çalıştığı belirlendi. DarkSword, ilk olarak 2026’nın başlarında Google ve iVerify tarafından tespit edilmişti. Coruna ile birlikte güncel olmayan iOS sürümlerindeki birden fazla güvenlik açığını zincirleme biçimde kullanarak iPhone’ların ele geçirilmesine imkan tanıyordu.
TÜRKİYE DE LİSTEDE
Saldırganlar, bu açıklar üzerinden cihazın güvenlik mekanizmalarını aşarak ek zararlı yazılımlar çalıştırabiliyor. Daha önce Suudi Arabistan, Türkiye, Malezya ve Ukrayna’da DarkSword kullanan saldırı kampanyaları tespit edildi. P7 DarkSword’un dağıtımında kötü amaçlı reklamlar ve ele geçirilmiş internet siteleri kullanılıyor. Güvenlik açığı bulunan bir iPhone üzerinden zararlı içeriğin bulunduğu internet sayfasının ziyaret edilmesi, saldırı zincirinin çalışması için yeterli olabiliyor.
Yazılımın en önemli değişikliklerinden biri, iPhone’un Anahtar Zinciri verilerine erişim biçiminde görülüyor. P7 DarkSword, ilgili verileri doğrudan iPhone üzerinde çıkarıp JSON biçimine dönüştürdükten sonra dışarı gönderiyor. Casus yazılım, cihazda yüklü kripto para cüzdanlarını da tarayabiliyor. İncelenen sürümün komutları arasında imToken cüzdan uygulamasına yönelik özel bir veri çıkarma işlevi de bulunuyor.
P7 DarkSword’un dikkat çeken diğer özelliği, saldırganların komuta ve kontrol sunucularıyla çift yönlü iletişim kurabilmesi. Zararlı yazılım, iOS’un ana ekran ve sistem arayüzünden sorumlu SpringBoard işlemine yerleşerek saldırganların altyapısıyla iletişim sağlıyor. Normal çalışma düzeninde her 15 saniyede bir sunucuyla bağlantı kurarak yeni komut olup olmadığını kontrol ediyor. Bu bağlantı aralığı saldırganlar tarafından uzaktan değiştirilebiliyor.
Uzaktan gönderilen komutlarla iPhone’daki dosyalar okunabiliyor ve fotoğraflar dışarı aktarılabiliyor. Apple Notlar uygulamasının veritabanlarına erişim ve cihazın dosya sisteminin taranması da yazılımın yetenekleri arasında bulunuyor. Yazılımın gizlenme mekanizması, hata ayıklama kayıtlarını azaltarak tespit edilmesini zorlaştırıyor. Geliştiricilerin yaptığı değişiklikler, daha önce kullanılan bazı zararlı yazılım tespit göstergelerinin yeni sürümü yakalamakta yetersiz kalmasına neden oldu.
Apple, söz konusu güvenlik açıklarına karşı iOS 15.8.7, iOS 16.7.15 ve iOS 18.7.7 dahil olmak üzere çeşitli güvenlik güncellemeleri yayımladı. Şirket, yeni işletim sistemine geçmeyen kullanıcıların ilgili açıklara karşı korunmasını sağlamak için bu güncellemeleri sundu. P7 DarkSword’un keşfi yeni bir iOS güvenlik açığının bulunduğu anlamına gelmiyor. Burada değişen unsur, DarkSword saldırı zinciriyle ele geçirilen cihazlarda çalışan casus yazılımın kendisi. Apple’ın daha önce yayımladığı güvenlik düzeltmeleri, DarkSword saldırı zincirinde kullanılan açıkları kapatıyor. Bu nedenle iPhone kullanıcılarının cihazları için sunulan güncel güvenlik sürümlerini yüklemesi gerekiyor. Özellikle hedefli casus yazılım saldırılarına maruz kalma riski bulunan kullanıcılar, iOS’un Ayarlar bölümündeki Gizlilik ve Güvenlik menüsünden Kilit Modu’nu da etkinleştirebiliyor.
