iVerify raporu: iPhone spyware'i artık suçluların aracı; tüketici taramalarında her 1.000 cihazda 1,07 enfeksiyon
iVerify'ın yeni raporuna göre tespit edilen mobil spyware enfeksiyonlarının yaklaşık yüzde 75'i DarkSword ve Coruna exploit kitlerini kullanan suç gruplarından geliyor. Hedef artık yöneticiler değil; enfeksiyonların önemli kısmı sıradan çalışanlarda ve tüketicilerde görülüyor.
Mobil tehdit avı şirketi iVerify, 10 Kasım'da yayımladığı raporda spyware'in artık yalnızca devletlerin gazeteci ve muhalif takibinde kullandığı nadir bir araç olmadığını, suç gruplarının elinde geniş ölçekli bir silaha dönüştüğünü öne sürdü. The Record'un aktardığına göre şirketin ücretsiz cihaz kontrollerinde tüketici taramalarında her 1.000 taramada 1,07 enfeksiyon tespit edildi. Kurumsal cihazlarda bu oran 1.000'de 0,7 oldu; iVerify farkı, şirketlerdeki zorunlu güncelleme, cihaz üzerinde tespit ve ağ kontrollerine bağlıyor.
Şirketin kurucu ortağı Rocky Cole tam sayıyı paylaşmadı, ancak yüz binlerce tüketici cihazının tarandığını söyledi. Cole'a göre ortalama bir Fortune 500 şirketi cihazlarında yılda yaklaşık 65 enfeksiyonla karşılaşıyor ve enfekte cihazların önemli kısmı üst düzey yöneticilere değil, sıradan çalışanlara ait.
Pegasus değil, sızmış exploit kitleri
Rapora göre tespitlerin yaklaşık yüzde 75'i suç gruplarının kullandığı DarkSword ve Coruna exploit kitlerinden geliyor; kalan yüzde 25 ise Pegasus gibi paralı (mercenary) spyware ürünleri. DarkSword, bu yıl mart ayında kamuoyuna çıkan ve watering hole yöntemiyle çalışan tam zincirli bir iOS exploit kiti; ele geçirilmiş bir siteyi tarayıcıyla ziyaret etmek tek başına bulaşma için yeterli olabiliyor (sitede daha önce APT29'un DarkSword kullanımını aktarmıştık).
Coruna da web tabanlı saldırılarla WebKit ve çekirdek açıklarını tetikliyor. Kitin bir savunma yüklenicisinden sızdırıldığı ve sahte Çince finans siteleri üzerinden 42 binden fazla iOS cihazında kripto para hırsızlığında kullanıldığı belirtiliyor. iVerify'a göre iki kitten etkilenen cihaz sahipleri Apple'ın tehdit bildirimini almadı. Enfeksiyonların çoğu siyasi takip yerine kimlik bilgisi ve kripto para hırsızlığına yönelikti.
"Neşter, ağa dönüştü"
Cole, bu yılı "iOS spyware'inin ana akıma girdiği yıl" olarak tanımlıyor ve iPhone'ları hedef alan bir numaralı aktörün artık devletler değil suçlular olduğunu söylüyor. Rapor Android tarafında da ucuz ve hazır spyware kitleriyle benzer bir kayma görüldüğünü belirtiyor. Karşılaştırma için: iVerify'ın Aralık 2024 raporunda Pegasus enfeksiyon oranı 1.000 cihazda 2,5 olarak ölçülmüştü; o dönem DarkSword ve Coruna piyasada değildi.
Ne yapılmalı?
- Tehdit modelini genişletin: Mobil spyware riskini yalnızca VIP ve yöneticiler için değil, tüm çalışanlar için değerlendirin.
- Güncellemeleri zorunlu tutun: MDM üzerinden iOS ve Android cihazlarda asgari işletim sistemi sürümü tanımlayın; güncel olmayan cihazların kurumsal e-posta ve uygulamalara erişimini kısıtlayın.
- Lockdown Mode: Yüksek riskli rollerde Apple'ın Lockdown Mode özelliğini değerlendirin; web tabanlı exploit zincirlerinin saldırı yüzeyini daraltır.
- Kripto ve finans uygulamaları: Kişisel cihazlarda kripto cüzdanı kullananlar, bilinmeyen yatırım ve finans sitelerine karşı özellikle dikkatli olmalı.
- Tespit: Kurumsal filoda mobil tehdit tespit (MTD) çözümü yoksa, en azından şüpheli cihazlar için düzenli adli inceleme süreci tanımlayın.
