9to5Mac tarafından “Sahte iPhone Duo ön sipariş sayfası kripto cüzdan verilerini ele geçirebilir” başlığıyla aktarıldığı kadarıyla,
iPhone Duo ön siparişleri 16 Ekim Cuma günü başlayacak. Dolandırıcılar ise siparişleri erken almak isteyenleri sahte bir web sitesine yönlüyor.
Zararlı yazılım barındıran site, Apple’ın kurumsal görünümünü taklit ediyor ve “Yetkili İş Ortağına Özel” adıyla 500 dolarlık indirim kuponu sunuyor.
Malwarebytes güvenlik araştırmacılarına göre sayfa, bazı eski ve güncellenmemiş iPhone modellerinde çalışan DarkSword istismar zincirini kullanıyor. Saldırının başlaması için form doldurulması, indirme yapılması veya herhangi bir işlem onaylanması gerekmiyor; yalnızca sayfanın açılması yeterli.
Apple tarzı tasarımın ve 500 dolarlık kuponun arkasında, zafiyet içeren iPhone’lara sızmak için sızdırılmış DarkSword istismar zinciri kullanılıyor. Başarılı bir istismarın ardından ayrı bir yük, kayıtlı kimlik bilgilerini, kripto cüzdan verilerini ve notları çalmaya çalışıyor. Formun doldurulması, bir dosyanın indirilmesi veya işlem onaylanması gerekmeden sayfanın açılması, saldırı girişimini başlatabiliyor.
İstismar başarılı olursa cihaz kimlik bilgileri ile durum bilgileri yakalanıyor; yüklenen uygulamaların listesi ve Apple Notes içerikleri sunucuya gönderilmeye çalışılıyor. Ardından kripto cüzdanlara yönelik veri hırsızlığına geçiliyor.
Yüklenen kod; MetaMask, Phantom, Trust Wallet, Coinbase Wallet, Exodus ve Tonkeeper gibi kripto cüzdanlarını arıyor. Ayrıca iPhone anahtar zincirinde saklanan kimlik bilgilerini kurtarmayı deniyor. Hedeflenen bir cüzdan bulunması ve saldırgan sunucusuyla ilk veri alışverişlerinin başarılı olması hâlinde cüzdan dosyaları, anahtar zincirinden elde edilen veriler ve fotoğraf küçük resimleri yüklenmeye çalışılıyor. Cüzdan dosyalarının veya kimlik bilgilerinin ele geçirilmesi, kullanıcı varlıklarını riske atabilir.
Zararlı yük ayrıca mesajlara, kişilere, arama geçmişine, sesli postalara, e-postalara, takvim kayıtlarına ve önbelleğe alınmış konum verilerine erişmeyi deniyor. Saldırgan sunucusundan ek talimatlar alma ve başka işlemler gerçekleştirme yeteneğine de sahip.
DarkSword istismar zinciri, Google tarafından Mart ayında açıklandı. Apple, istismara yol açan güvenlik açığını aynı ayın ilerleyen bölümünde yamaladı.
Güvenlik Önerileri
Temel güvenlik önlemlerini eksiksiz uygulamak önemlidir. Güvenilen bir kişiden gelen ve ayrıca beklenen bağlantılar dışındaki bağlantılara erişilmemeli, iOS güncellemeleri ise kullanıma sunulduğu anda kurulmalı.