Siber güvenlik araştırmacısı Sekoia'ya göre, Rus tehdit grubu APT29 ile orta-yüksek güven düzeyinde ilişkilendirilen geniş çaplı bir sulama deliği kampanyası, ele geçirilmiş web sitelerini veya taklit portalları ziyaret eden iOS ve Android kullanıcılarını hedef aldı.
Kampanyada ABD, Ukrayna, Çekya ve Bulgaristan'daki tanınmış web siteleri yer aldı. Ele geçirilen siteler arasında Ukraynalı bir gaz üreticisine, ABD'deki bir kimya sektörü ticaret birliğine ve Bulgaristan'daki askeri bağlantılı bir siteye ait olanlar vardı. Taklit alan adları, America250 sitesini ve Raffles London at The OWO otelini taklit etti.
Her olayda JavaScript önce ziyaretçilerin cihazlarını ve tarayıcı sürümlerini profilledi. Ardından bir komuta-kontrol sunucusu, kullanıcı etkileşimi gerektirmeyen platforma özgü n-day açık zincirlerini gönderdi. Araştırmacılar, erişilemeyen kodda veya alternatif açık yollarında dört başka güvenlik açığı daha buldu; ancak bunların incelenen zincirlerde kullanılmadığını belirtti.
Kampanyada Ukraynalı web analiz hizmeti Plerdy'nin ele geçirilmesi de yer aldı. Değiştirilmiş SEO izleyicisi, çoğunluğu Ukrayna'da bulunan binlerce web sitesi tarafından 27 Ağustos ile 3 Eylül arasında yüklendi. Sekoia, yüklerin kalıcılık sağlamadığını, bu nedenle cihazı yeniden başlatmanın kötü amaçlı etkinliği durdurduğunu; etkinliğin ancak cihaz yeniden ele geçirilmiş bir siteyi ziyaret edince başlayabildiğini söyledi.
Sekoia, atıf için önceki APT29 sulama deliği operasyonlarıyla benzerlikleri, örtüşen altyapıyı ve bir iş ortağının 2025 tarihli bir APT29 kampanyasıyla ilişkilendirdiği bir siteyi kanıt olarak gösterdi. Apple ve Google, kampanyada hedef alınan tüm açıkları, eski iOS sürümlerindekiler de dahil olmak üzere yamaladı. Kaynak, mevcut en yeni güvenlik güncellemelerinin uygulanmasını öneriyor.
Yorumlar
0Henüz yorum yok. İlk yorumu siz yazın.