9to5Mac tarafından “Uzmanlar, güvenlik yaması uygulanmamış iPhone cihazlarını etkileyen yeni DarkSword casus yazılım varyantını tespit etti.” başlığıyla aktarıldığı kadarıyla,
iVerify, bu yılın başlarında ortaya çıkarılan DarkSword iPhone istismar zinciriyle ilişkili kötü amaçlı yazılımın yeni bir türü olan P7 DarkSword hakkında bir rapor yayımladı.
Arka Plan
Bu yılın başlarında Google ve iVerify, iOS sistemlerinin birden fazla açığı zincirleme kullanarak güncellenmemiş sürümlerde çalışan cihazları ele geçiren Coruna ve DarkSword adlı iki sofistike iPhone hackleme aracının varlığını açıklamıştı.
DarkSword durumunda, bir iPhone ele geçirildikten sonra saldırganlar hassas verilere erişimi olan ek kötü amaçlı yazılımlar yerleştirebiliyordu.
Coruna, iOS 13 ile iOS 17.2.1 arası sürümleri hedef alırken, DarkSword iOS 18.4 ile iOS 18.7 arası sürümleri etkilemişti.
Bu durum, Apple'ın etkilenen eski iOS sürümleri için iOS 15.8.7, iOS 16.7.15 ve iOS 18.7.7 güncellemelerini yayımlamasına yol açtı. Apple, iOS 26'yı kurabilen cihazlara bile iOS 18.7.7 sürümünün sunulması alışılmadık bir adım atarak, en güncel sistem sürümüne yükseltmeyi tercih etmeyen kullanıcıların da DarkSword'a karşı korunmasını sağladı.
Dönem içinde Google, DarkSword'un birden fazla ticari gözetleme yazılımı tedarikçisi ve devlet destekli olduğu şüphelenilen aktörler tarafından kullanıldığını, Suudi Arabistan, Türkiye, Malezya ve Ukrayna'daki hedeflere yönelik saldırlar gözlendiğini belirtmişti.
Vahşi Doğada Yeni DarkSword Türü Keşfedildi
iVerify, iki ay önce bir finans kuruluşunda çalışan bir çalışanın iPhone cihazında yaşanan bir enfeksiyonu araştırırken daha önce görülmemiş bir türün keşfedildiğini duyurdu.
iVerify'in paylaştığı ek bilgilere göre, P7, takip edilmekte olan önceki türün iOS 18.6 sürümünde olan uyumluluğunu iOS 18.7'ye genişletmiştı. Google'ın gözlemlediği diğer DarkSword dağıtımları çaten iOS 18.7'yi destekliyordu.
Şirket ayrıca, P7'nin arkasındaki tehdit aktörünün, suçlamalı reklamlar aracılığıyla su kuyusu saldırları düzenlediğini belirtti; bu durum, mağdurların bireysel olarak hedef alınması gerekmediği anlamına geliyor. Kullanıcılar, zararlı veya ele geçirilmiş web içerikleriyle karşılaşarak daha geniş kampanyalara kurban gidebiliyor.
Araştırmacılar şu değerlendirmeyi yapmıştı:
Ağustos 2026'da, daha önce görülmemiş bir tür olduğu anlaşılan ve P7 DarkSword adını verdiğimiz bir DarkSword enfeksiyonunu araştırdık. P7 adı, tehdit aktörünün orijinal DarkSword kodundaki değişikliklerde
p7_değişken öneki kullanmasından geliyor. Gözlemlediğimiz türlerle karşılaştırıldığında P7, cihaz üzerindeki izlerini azaltıyor, cihaz içi Keychain ve kripto cüzdan veri çalma özellikleri ekliyor ve altyapısıyla iki yönlü C2 iletişim kurabiliyor. Bu yazı, araştırmayı, türün yeteneklerini ve tespit için kullanılabilecek göstergeleri anlatıyor.
Rapor, P7 DarkSword'un önceki türlerden ana üç alanda gelişim gösterdiğini belirtiyor: gizlilik, kararlılık ve işlevsellik. Y tür, kayıt tutma ve gerçekleştirdiği işlem enjeksiyonu sayısını azaltarak, cihazda tekrar tekrar istismar yapmaktan kaçınmak için tarayıcı depolamasını kullanıyor ve veri çalma yeteneklerini genişletiyor.
iVerify ayrıca, bu değişikliklerin operatörler tarafından yapılan yerine getirilmesi zor çalışmaları yansıttığını, basit yapay zekâ destekli değişiklikler olmadığını bildirdi. Şirket, P7'nin kendisini gizleme ve faaliyetlerini temizleme konusunda çok daha başarılı olduğunu, dolayısıyla daha önceki tespit göstergelerinin (IOC) artık geçerli olmadığını belirtiyor.
En dikkat çekici nokta, iVerify'in P7'nin Keychain verisini saldırganlara göndermeden önce doğrudan iPhone üzerinde çıkarabildiğini, bütün Keychain veritabanını başka bir işlem için kopyalamak yerine cihaz içinde işleme yaptığını belirtmesi.
P7 DarkSword ayrıca kripto cüzdan verilerini hedef alabiliyor ve saldırğuların komuta-kontrol altyapısıyla daha gelişmiş iki yönlü iletişim kurabiliyor.
Bu iki yönlü iletişim, saldırganların enfekte olmuş bir cihaz üzerinde önemli ölçüde daha fazla kontrol sahibi olmasını sağlıyor. iVerify'e göre, P7 keyfi dosyalar alma, fotoğraf yükleme, yüklü uygulamaların envanterini alma, Apple Notes veritabanlarına erişim, tekil uygulama kapsayıcılarından veri toplama ve cihaz dosya sisteminin taranmasına yönelik komutlar alabiliyor.
Varsayılan olarak casus yazılım, yeni talimatlar için saldırganların komuta-kontrol sunucusuyla her 15 saniyede bir iletişime geçiyor, ancak bu aralık uzaktan değiştirilebiliyor.
Belirtmek gerekir ki, P7 yeni bir iOS güvenlik açığı değil, başarılı bir DarkSword ele geçirmesinin ardından yerleştirilen kötü amaçlı yazılımın yeni bir sürümü. iVerify, Ağustos ayında P7'nin keşfedildiği cihazın hangi iOS sürümüyle çalıştığını belirtmemişti.
iVerify'in P7'nin çalışma mantığına dair teknik detayları içeren tam raporuna şuradan ulaşılabilir.
