Geniş çaplı bir casusluk kampanyası sonbaharın bir bölümünü sıradan web sitelerini telefonlar için enfeksiyon altyapısına çevirmekle geçirdi — ve bunu tek bir sıfır gün açığı kullanmadan yaptı. Sekoia'nın Tehdit Tespit ve Araştırma ekibi 4 Kasım'da yayımladığı analizde, Ekim 2026 ortasından bu yana etkin olan ve iOS ile Android ziyaretçilerine etkileşimsiz sömürü zincirleri sunan bir watering hole operasyonunu anlattı. Kullandığı her açık Apple ve Google tarafından çoktan kapatılmıştı.

Savunma tarafı için önemli olan sonuç rahatsız edici: Bir telefon ancak gerçekten güncellenmişse güvenlidir. Yamalanmasını bekleyeceğiniz yeni bir açık, yarışacağınız bir bülten yok. Saldırganlar yalnızca yeterince büyük bir yamasız cihaz kitlesi olduğunu varsaydı ve haklı çıktı.

Sekoia, kampanyanın APT29'a — Midnight Blizzard, Cozy Bear ya da Dukes adlarıyla da izlenen ve yaygın olarak Rusya Dış İstihbarat Servisi'ne atfedilen grup — ait olduğunu orta-yüksek güvenle değerlendiriyor. Şirket, mağdurların tespiti için ulusal CERT'lerle koordinasyon halinde olduğunu, CERT-UA ve Google TAG'dan destek aldığını belirtiyor.

Üç giriş yolu

Kampanya, hepsi aynı JavaScript yükleyicisine çıkan üç dağıtım yolu kullandı.

Birincisi meşru sitelere doğrudan enjeksiyon. Ukraynalı bir doğal gaz üretim şirketinin sitesinde saldırganlar ana şablona bir betik ekledi; sayfa yüklendikten sonra bu betik, yazarlarının "UltimateFingerprinter" adını verdiği harici bir dosyayı sayfaya ekliyordu. Benzer müdahaleler ABD'deki büyük bir kimya sanayii derneğinin, Bulgaristan'da askeri bağlantılı bir sitenin ve Avrupa'da aşırı sağcı bir partinin sitesinde görüldü.

İkincisi ters proxy taklidiydi: benzer bir alan adı kaydet, gerçek sitenin içeriğini geçir, kötücül betiği anında araya ekle. İki alan adı öne çıktı. `america250[.]holiday`, Amerikan bağımsızlığının 250. yılı için kurulan ulusal girişimin resmi sitesi america250.org'a proxy'lik yapıyordu; Sekoia, hedefin yüksek profilli bir ulusal kutlama etrafında davetiye temalı yemleme olabileceğini düşünüyor. `theowo[.]club` ise eski Savaş Bakanlığı binasındaki lüks Raffles London at The OWO oteline proxy'ydi — Savunma Bakanlığı ve 10 Downing Street'e yürüme mesafesinde; açık kaynak haberlere göre Ukrayna Devlet Başkanı Volodimir Zelenski 14 Ekim ziyaretinde burada kalmıştı.

Üçüncüsü en geniş olanıydı: 27 Ağustos ile 3 Eylül arasında saldırganlar, binlerce sitenin (çoğu Ukraynalı) yüklediği Ukraynalı web analitiği servisi Plerdy'nin sunduğu izleme dosyasını değiştirdi. Bir hafta boyunca bu sitelerin her ziyaretçisi hem meşru izleyiciyi hem de parmak izi betiğini yükledi. Sekoia savunma sanayii, özel kuvvetler ve askeri teçhizat siteleriyle örtüşmeye dikkat çekiyor; ancak amacın hedefli toplama mı yoksa yamasız telefonlar üzerinde olabildiğince geniş bir ağ atmak mı olduğunu belirleyemediğini söylüyor.

Analistin bağlam penceresini boşa harcamak için kurulmuş bir parmak izi

Parmak izi betiği başlı başına bir tuhaflık. 394 JSON alanı oluşturan 61 toplayıcı çalıştırıyor — canvas, ses ve WebGL özetleri, yazı tipi ve sensör kontrolleri, Apple'a özgü özellik yoklamaları, hatta USB, NFC ve Bluetooth varlığı — sonra sonucu, yanıt gövdesi olarak sömürü kodu döndüren bir sunucuya gönderiyor.

Bunların neredeyse hiçbiri operasyonel olarak önemli değil. Teslimatı yalnızca üç alan engelleyebiliyor: mantıksız ekran boyutları ve sıfır `maxTouchPoints` değeri, yani telefon olmayan bir cihaz. Geri kalanı toplanıyor ve görünüşe göre kullanılmıyor.

Dosyanın kendisi şişirilmiş: yük, boyutunun yaklaşık yüzde 98'ini oluşturan 2,3 megabaytlık küçültülmüş bir AngularJS kopyasının sonuna eklenmiş. Sekoia'ya göre bu dolgu, büyük dil modellerinin bağlam penceresini aşarak otomatik analizi bozmak — ya da en azından betiği ilk bakışta sıradan bir kütüphane gibi göstermek için. Her iki durumda da teknik, savunucuların JavaScript triyajında kullandığı araçları doğrudan hedefliyor.

Sömürü zincirleri ne alıyor

Dağıtım sunucusu, bildirilen platform ve tarayıcı sürümüne göre bir zincir seçiyor. Sekoia üçünü elde etti.

A sınıfı iOS 16.7'yi hedefliyor: bir RCE (CVE-2025-43529) ile işaretçi kimlik doğrulama atlatmasını (CVE-2024-27834) zincirliyor, ardından süreç kimliklerini tarayıp her uygulamanın konteynerini açarak `Cookies.binarycookies` dosyalarını yeniden birleştiriyor. Çerezler sabit kodlanmış bir uç noktaya sızdırılıyor. Örnekte eski sömürülerden kalan ölü kod da var — bir `AccessCase` use-after-free ve bir SBFX taşması — bu da kitin sıfırdan yazılmak yerine yeniden kullanıldığını düşündürüyor.

B sınıfı iOS 18.5'i hedefliyor ve tam DarkSword zinciri: aynı başlangıç RCE'si, farklı bir PAC atlatması (CVE-2026-20700), ardından iki sandbox kaçışı (CVE-2025-14174 ve CVE-2025-43510) ve bir çekirdek okuma/yazma ilkeli (CVE-2025-43520). Sömürü sonrası yük bir telefon hasadı: SMS ve iMessage veritabanları, Mail indeksleri, sesli mesaj, WhatsApp ve Telegram veritabanları, Keychain kayıtları, Wi-Fi ön paylaşımlı anahtarları, kişiler, arama geçmişi, takvimler, notlar, Safari geçmişi ve çerezleri, uygulama kullanım zaman çizelgesi, konum önbellekleri, Sağlık verileri, fotoğraf kitaplığı ve iCloud Drive.

C sınıfı Android Chrome 139 ile 145'i hedefliyor; 143 sürümünü Sekoia'nın belirleyemediği bir nedenle atlıyor. İşleyici kod çalıştırmak için CVE-2026-3910'u, tarayıcı sandbox'ından kaçmak için Adreno GPU sürücüsündeki CVE-2025-27038'i kullanıyor ve araştırmacıların AndroSnitch adını verdiği yükü bırakıyor: tek işi Chrome'un Cookies, Login Data ve History dosyaları ile sistem Wi-Fi yapılandırmasını okumak olan 16 fonksiyon. Cihaz Galaxy S25 Ultra ise duruyor.

Zincirlerin hiçbiri kalıcılık kurmuyor. Çalıyor ve gidiyorlar; bu da istihbarat toplama hedefine uyuyor: çalınan oturum çerezleri, cihazda kötücül yazılım barındırmaya gerek kalmadan operatöre web postası dahil kimlik doğrulanmış oturumları yeniden kullanma imkânı veriyor.

Atıf izi

Sekoia'nın gerekçesi üç ayak üzerinde duruyor: 2025'te APT29'a atfedilen bir watering hole kampanyasıyla altyapı örtüşmesi; mağdur profili (Ukrayna, ABD ve Avrupa'da yoğunlaşma, araya karışmış bir Çek aşırı sağ parti sitesi); ve Google TAG'ın çerçevenin APT29'un 2024'te Moğolistan hükümet sitelerine yönelik operasyonuna benzediğini doğrulaması. O kampanya sabit kodlanmış bir hedef filtresi kullanıyordu; bu kullanmıyor — ulaşabildiği her çerezi alıyor.

Google TAG, 2024'teki sömürülerin ticari gözetim satıcılarının kullandıklarıyla eşleştiğini ve APT29'un bunları nasıl edindiğinin belirsiz olduğunu söylemişti. Sekoia'nın analizi de aynı yöne eğiliyor: dağıtım sunucusu A sınıfı zinciri yalnızca iOS 16.7'ye sunuyor, oysa sömürü 16.0'dan 17.4'e kadar çalışıyor — başkasının paketlenmiş kitini yeniden ayarlamadan kullanınca çıkan türden bir uyumsuzluk.

Sekoia'nın çıkardığı stratejik ders atıfla değil arzla ilgili. Paketlenmiş ve yeniden satılan mobil sömürü zincirleri devlet grupları için giriş maliyetini düşürüyor ve ticari kitlerin yeniden kullanımı muhtemelen yaygınlaşacak — bu da pratik savunmanın her zamanki yerinde kaldığı anlamına geliyor: telefonu güncel tutmak.

Kaynaklar