iPhone'ları Hedefleyen P7 DarkSword Casus Yazılımı

Siber güvenlik şirketi iVerify, iPhone kullanıcılarını hedef alan DarkSword casus yazılımının yeni sürümü P7 DarkSword'u tespit etti. Zararlı yazılım, güvenlik güncellemeleri yüklenmemiş cihazlara sızarak kayıtlı parolalardan kripto para cüzdanlarına kadar pek çok hassas veriye erişim sağlayabiliyor.

Uzaktan Komut Gönderme Yeteneği

Önceki sürümlerden farklı olarak P7 DarkSword, saldırganların cihaza uzaktan komut göndermesine olanak tanıyor. Yeni sürüme verilen isim, saldırganların orijinal kodda yaptıkları değişikliklerde kullandıkları p7_ değişken önekinden geliyor. İncelenen yazılımın önceki sürümlere kıyasla cihazda daha az iz bıraktığı ve daha kararlı çalıştığı belirlendi.

DarkSword İlk Kez 2026 Başında Tespit Edildi

DarkSword, ilk olarak 2026'nın başlarında Google ve iVerify tarafından tespit edilmişti. Coruna ile birlikte güncel olmayan iOS sürümlerindeki birden fazla güvenlik açığını zincirleme biçimde kullanarak iPhone'ların ele geçirilmesine imkan tanıyordu.

Türkiye de Hedef Ülkeler Arasında

Saldırganlar, bu açıklar üzerinden cihazın güvenlik mekanizmalarını aşarak ek zararlı yazılımlar çalıştırabiliyor. Daha önce Suudi Arabistan, Türkiye, Malezya ve Ukrayna'da DarkSword kullanan saldırı kampanyaları tespit edildi.

P7 DarkSword'un dağıtımında kötü amaçlı reklamlar ve ele geçirilmiş internet siteleri kullanılıyor. Güvenlik açığı bulunan bir iPhone üzerinden zararlı içeriğin bulunduğu internet sayfasının ziyaret edilmesi, saldırı zincirinin çalışması için yeterli olabiliyor.

Anahtar Zinciri Verileri ve Kripto Cüzdanları Hedefte

Yazılımın en önemli değişikliklerinden biri, iPhone'un Anahtar Zinciri verilerine erişim biçiminde görülüyor. P7 DarkSword, ilgili verileri doğrudan iPhone üzerinde çıkarıp JSON biçimine dönüştürdükten sonra dışarı gönderiyor.

Casus yazılım, cihazda yüklü kripto para cüzdanlarını da tarayabiliyor. İncelenen sürümün komutları arasında imToken cüzdan uygulamasına yönelik özel bir veri çıkarma işlevi de bulunuyor.

Her 15 Saniyede Bir Sunucuya Bağlanıyor

P7 DarkSword'un dikkat çeken diğer özelliği, saldırganların komuta ve kontrol sunucularıyla çift yönlü iletişim kurabilmesi. Zararlı yazılım, iOS'un ana ekran ve sistem arayüzünden sorumlu SpringBoard işlemine yerleşerek saldırganların altyapısıyla iletişim sağlıyor. Normal çalışma düzeninde her 15 saniyede bir sunucuyla bağlantı kurarak yeni komut olup olmadığını kontrol ediyor; bu bağlantı aralığı saldırganlar tarafından uzaktan değiştirilebiliyor.

Uzaktan gönderilen komutlarla iPhone'daki dosyalar okunabiliyor ve fotoğraflar dışarı aktarılabiliyor. Apple Notlar uygulamasının veritabanlarına erişim ve cihazın dosya sisteminin taranması da yazılımın yetenekleri arasında yer alıyor.

Tespit Edilmesi Zorlaştırıldı

Yazılımın gizlenme mekanizması, hata ayıklama kayıtlarını azaltarak tespit edilmesini zorlaştırıyor. Geliştiricilerin yaptığı değişiklikler, daha önce kullanılan bazı zararlı yazılım tespit göstergelerinin yeni sürümü yakalamakta yetersiz kalmasına neden oldu.

Apple'dan Güvenlik Güncellemeleri

Apple, söz konusu güvenlik açıklarına karşı iOS 15.8.7, iOS 16.7.15 ve iOS 18.7.7 dahil olmak üzere çeşitli güvenlik güncellemeleri yayımladı. Şirket, yeni işletim sistemine geçmeyen kullanıcıların ilgili açıklara karşı korunmasını sağlamak için bu güncellemeleri sundu.

P7 DarkSword'un keşfi yeni bir iOS güvenlik açığının bulunduğu anlamına gelmiyor. Burada değişen unsur, DarkSword saldırı zinciriyle ele geçirilen cihazlarda çalışan casus yazılımın kendisi. Apple'ın daha önce yayımladığı güvenlik düzeltmeleri, DarkSword saldırı zincirinde kullanılan açıkları kapatıyor.

Bu nedenle iPhone kullanıcılarının cihazları için sunulan güncel güvenlik sürümlerini yüklemesi gerekiyor. Özellikle hedefli casus yazılım saldırılarına maruz kalma riski bulunan kullanıcılar, iOS'un Ayarlar bölümündeki Gizlilik ve Güvenlik menüsünden Kilit Modu'nu da etkinleştirebiliyor.