Rus Hacker Grubu APT29’dan iPhone ve Android Kullanıcılarına Saldırı

Rusya bağlantılı olduğu değerlendirilen APT29 grubunun, ele geçirilen internet siteleri ve sahte alan adları üzerinden iPhone ve Android kullanıcılarını hedef alan geniş çaplı bir siber saldırı kampanyası yürüttüğü ortaya çıktı. Sekoia tarafından Poisoned Source adı verilen saldırılarda, güncel olmayan telefonların güvenlik açıklarından yararlanılarak mesajlar, fotoğraflar, şifreler ve kişisel verilere ulaşılmaya çalışıldığı belirtildi. Üstelik bazı durumlarda kullanıcıların yalnızca saldırıya uğramış bir internet sitesini ziyaret etmesi, telefonlarının hedef alınması için yeterli olabiliyor.

APT29’un Hedefinde Stratejik İnternet Siteleri Var

Fransız siber güvenlik şirketi Sekoia, Ekim 2026'nın ortasında ortaya çıkardığı saldırı kampanyasının arkasında Rusya'nın dış istihbarat servisiyle bağlantılı APT29 grubunun bulunduğunu değerlendiriyor. Cozy Bear ve The Dukes isimleriyle de bilinen grubun, Rusya-Ukrayna savaşıyla bağlantılı stratejik hedeflere yöneldiği düşünülüyor.

Saldırganlar, kullanıcıların sık ziyaret ettiği gerçek internet sitelerini ele geçirerek sayfalara zararlı kodlar yerleştirdi. Bunun yanında yüksek profilli internet sitelerini taklit eden sahte alan adları da oluşturdu.

Hedef alınan adreslerden biri, ABD'nin bağımsızlığının 250. yıl dönümü kutlamalarıyla bağlantılı olan america250.org oldu. Saldırganlar, america250[.]holiday alan adını kaydederek gerçek internet sitesini ters proxy yöntemiyle taklit etti ve ziyaretçilere sunulan içeriğe zararlı JavaScript kodu ekledi.

Araştırmacılar, ulusal bir kutlamayla bağlantılı bu sitenin diplomatik çevrelere yönelik kimlik avı saldırılarında kullanılmak üzere seçilmiş olabileceğini belirtti.

Londra’daki Lüks Otel de Taklit Edildi

Saldırganların taklit ettiği adresler arasında Londra'daki Raffles London at The OWO oteli de bulunuyor. İngiltere Savunma Bakanlığı ve Başbakanlık konutu gibi önemli kurumlara yakın konumdaki otelin, diplomatik heyetleri ve üst düzey konukları hedeflemek amacıyla seçilmiş olabileceği değerlendiriliyor.

Ukrayna Devlet Başkanı Volodimir Zelenskiy'nin de 14 Ekim'deki ziyareti sırasında bu otelde konakladığı aktarıldı.

Kampanya kapsamında ABD, Ukrayna, Çekya ve Bulgaristan'daki farklı internet siteleri de taklit edildi. Ele geçirilen adresler arasında askeri kurumlarla bağlantılı platformlar ve büyük şirketleri temsil eden bir ticaret birliği de yer aldı.

Plerdy Üzerinden Binlerce İnternet Sitesi Saldırıya Açıldı

Saldırının önemli aşamalarından biri, Ukraynalı web analiz hizmeti Plerdy'nin ele geçirilmesi oldu. Saldırganların 27 Ağustos ile 3 Eylül 2026 tarihleri arasında hizmetin yazılımına zararlı kod eklediği belirtildi. Böylece Plerdy'yi kullanan çok sayıda internet sitesinin ziyaretçileri de saldırı riskiyle karşı karşıya kaldı.

Ele geçirilen siteler ve sahte alan adları üzerinden çalışan kod, ziyaretçilerin telefonlarını ve tarayıcılarını kontrol ederek kullanılan işletim sistemini belirledi. Ardından cihaza uygun zararlı yazılım devreye sokuldu.

Saldırının dikkat çeken yönü, kullanıcıların herhangi bir bağlantıya tıklamasına veya uygulama indirmesine gerek kalmaması. Bazı durumlarda yalnızca saldırıya uğramış bir internet sitesini ziyaret etmek, telefonun hedef alınması için yeterli olabiliyor.

iPhone’larda DarkSword, Android’de AndroSnitch Kullanıldı

Saldırganlar, iPhone cihazlarda DarkSword adlı istismar aracından yararlandı. Bu araçla tarayıcı çerezlerinin yanı sıra mesajlar, fotoğraflar, kişiler, arama geçmişi, e-posta verileri, Wi-Fi şifreleri ve bazı uygulamaların kayıtlı verileri hedef alınabiliyor.

Android cihazlarda ise Chrome tarayıcısındaki güvenlik açıklarından yararlanılarak AndroSnitch adlı zararlı yazılım kullanıldı. Bu yazılımın tarayıcı verilerini ve Wi-Fi şifrelerini toplamaya çalıştığı belirtildi.

Saldırıların özellikle güncel olmayan iOS ve Android sürümlerini kullanan cihazlara yöneldiği aktarılıyor. Bu nedenle eski işletim sistemi sürümlerini kullanan telefonlar kampanyanın hedefleri arasında bulunuyor.

DarkSword ve Coruna Gibi Araçlar Başka Saldırılarda da Kullanılıyor

Araştırmacılar, DarkSword'un yalnızca Poisoned Source kampanyasında kullanılmadığını, farklı saldırganların da bu aracı reklamlar ve sahte internet siteleri üzerinden dağıttığını belirtiyor.

DeadTag adı verilen başka bir olayda saldırganlar, süresi dolmuş internet alan adlarını yeniden kaydederek zararlı kodları binlerce siteye ulaştırdı. Bu saldırı ağı kapsamında 660'tan fazla alan adı tespit edildi.

Coruna adlı başka bir istismar aracı da eski iPhone modellerini hedef alıyor. Zimperium araştırmacıları, Ekim 2026 itibarıyla Coruna ailesine ait zararlı kodları dağıtan 608 alan adı belirledi.

Uzmanlar, hazır istismar araçlarının farklı saldırganlar tarafından yeniden kullanılmasının mobil cihazlara yönelik tehditleri artırdığına dikkat çekiyor.

iPhone ve Android Kullanıcıları Nasıl Korunabilir?

Saldırıların özellikle güncel olmayan işletim sistemlerini hedef alması nedeniyle kullanıcıların telefonlarına sunulan güvenlik güncellemelerini ertelememesi gerekiyor. Uygulamaların da en yeni sürümlerinin kullanılması önem taşıyor.

Uzmanların öne çıkardığı temel önlemler şöyle:

• İşletim sistemini güncel tutun: iPhone ve Android cihazlara sunulan en son güvenlik güncellemelerini yükleyin.
• Uygulamaları güncelleyin: Telefonlarda kullanılan uygulamaların güncel sürümlerini tercih edin.

Saldırının bazı durumlarda yalnızca internet sitesi ziyaretiyle başlayabilmesi, kullanıcıların şüpheli bağlantılardan uzak durmasının yanı sıra cihaz güvenlik güncellemelerini de düzenli olarak takip etmesini önemli hale getiriyor.

APT29 hangi ülkeyle bağlantılı?

APT29'un Rusya'nın dış istihbarat servisiyle bağlantılı olduğu değerlendiriliyor. Grup, Cozy Bear ve The Dukes isimleriyle de biliniyor.

Poisoned Source saldırısı nedir?

Sekoia'nın ortaya çıkardığı Poisoned Source, ele geçirilmiş internet siteleri ve sahte alan adları üzerinden iPhone ve Android kullanıcılarını hedef alan saldırı kampanyasıdır.

DarkSword hangi bilgileri çalabiliyor?

DarkSword; mesajlar, fotoğraflar, kişiler, arama geçmişi, e-posta verileri, Wi-Fi şifreleri ve tarayıcı çerezleri gibi bilgileri hedef alabiliyor.

Android kullanıcıları hangi zararlı yazılımla hedef alındı?

Android cihazlarda Chrome güvenlik açıklarından yararlanılarak AndroSnitch adlı zararlı yazılım kullanıldı.

Saldırıya uğramak için bağlantıya tıklamak gerekiyor mu?

Hayır. Bazı saldırılarda yalnızca ele geçirilmiş bir internet sitesini ziyaret etmek cihazın hedef alınması için yeterli olabiliyor.

Kullanıcılar kendilerini nasıl koruyabilir?

iPhone ve Android kullanıcılarının işletim sistemlerini ve uygulamalarını güncel tutması öneriliyor.