--- title: "APT29 binlerce mobil kullanıcıyı hedef alan watering hole saldırıları düzenledi" url: "https://teknotayf.com/haber/apt29-binlerce-mobil-kullaniciyi-hedef-alan-watering-hole-saldirilari-duzenledi" markdown_url: "https://teknotayf.com/haber/apt29-binlerce-mobil-kullaniciyi-hedef-alan-watering-hole-saldirilari-duzenledi.md" site: "teknotayf.com" language: "tr" published: "2026-11-05 23:05:39" updated: "2026-11-06 06:14:25" category: "Siber Güvenlik" tags: ["Siber Saldırı","Mobil Güvenlik","APT29","Watering Hole","Sekoia"] source: "Dark Reading" --- # APT29 binlerce mobil kullanıcıyı hedef alan watering hole saldırıları düzenledi > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/apt29-binlerce-mobil-kullaniciyi-hedef-alan-watering-hole-saldirilari-duzenledi > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** Rus devlet destekli APT29 grubu, Ukrayna merkezli bir SEO servisinin sitesini ele geçirerek binlerce iPhone ve Android kullanıcısına cihaz parmak izi kodu dağıttı. Sekoia araştırmacıları kampanyanın üç farklı bulaşma vektörü kullandığını ve seçili cihazlardan hassas veri çalmak için farklı istismar zincirleri uygulandığını tespit etti. Grup, DarkSword istismar kitini üçüncü taraftan temin etmiş olabileceğine dair işaretler bulundu. - **Yayın tarihi:** 2026-11-05 23:05 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Siber Saldırı, Mobil Güvenlik, APT29, Watering Hole, Sekoia - **Yazan:** TeknoTayf.com - **Kaynak:** [Dark Reading](https://www.darkreading.com/mobile-security/apt29-watering-holes-target-mobile-users) ![APT29 binlerce mobil kullanıcıyı hedef alan watering hole saldırıları düzenledi](https://teknotayf.com/assets/uploads/2026/11/8b2d4b0821b0268e441491486f0d8c3f.jpg) Web sitelerini ele geçirdikten sonra Rus devlet destekli tehdit grubu, kurbanları parmak iziyle tespit edip ilginç olanlardan bilgi topluyor. Bu hafta ortaya çıktı ki Rusya'nın **APT29** tehdit grubu bir Ukrayna SEO ve web sitesi analitik servisinin sitesini ele geçirdi ve erişimi kısa süreliğine kullanarak potansiyel olarak binlerce iPhone ve Android kullanıcısına zararlı cihaz parmak izi kodu dağıttı. Yılın başlarında bir haftalık süren bu ihlal, APT29 yani Cozy Bear, Midnight Blizzard ve The Dukes'un da diğer meşru ve sahte web sitelerini kullanarak parmak izi kötücül yazılımı dağıttığı ve daha sonra seçili cihazlardan hassas kişisel bilgi topladığı daha geniş bir watering hole kampanyasının parçasıydı. ## Android ve iPhone Kullanıcılarının Ötesinde Net Bir Siber Saldırı Hedefi Yok Kampanyayı takip eden Sekoia'daki araştırmacılar, devlet destekli gelişmiş sürekli tehdidin belirli hedefleri olup olmadığını, yoksa sadece mümkün olduğunca çok savunmasız telefonu enfekte etmeye çalışıp çalışmadığını bilmiyor. "Doğrudan ele geçirilen web siteleri arasında analizimizden sektörsel bir hedefleme deseni ortaya çıkmıyor," diye yazdı Sekoia'nın tehdit araştırması ve istihbarat ekibi. "Kurban profili Ukrayna ve Amerika Birleşik Devletleri'nde yoğunlaşsa da, Avustralyalı bir tıbbi kliniği gibi ilgisiz kuruluşların dahil edilmesi geniş stratejik bir yorumlamayı güçleştiriyor." APT29, ABD hükümetinin resmen Rusya'nın Dış İstihbarat Servisi SVR'sine bağladığı tanıdık bir tehdit aktörüdür. Birincil görevi Moskova adına istihbarat toplamaktır ve odak noktası devlet kurumları, diplomatik kuruluşlar, düşünce kuruluşları, teknoloji şirketleri, sağlık ve araştırma kurumlarıdır. En öne çıkan kampanyaları arasında 2016'da Demokratik Ulusal Komite'deki ihlaller, 2020'de COVID-19 aşı araştırmalarını çalma çabaları ve ABD hükümet kurumlarının yanı sıra özel sektör kuruluşlarına erişim sağlayan SolarWinds tedarik zinciri ihlali yer alıyor. Grup, gizli uzun süreli sızmalarla biliniyor ve son yıllarda bulut ortamları, e-posta hesapları ve teknoloji sağlayıcılarını hedefleyerek aşağı akış kurbanlarına erişim sağlamak için giderek daha fazla odaklanıyor. ## APT29'un 3 Farklı Enfeksiyon Vektörü En son kampanyasında APT29, iOS ve Android cihazları hedeflemek için üç ayrı enfeksiyon vektörü kullandı. Biri meşru web sitelerini ele geçirip ziyaretçileri cihaz parmak izi betiğine maruz bırakan zararlı JavaScript enjekte etmeyi içeriyordu. Tehdit aktörünün watering hole'a çevirdiği siteler arasında bir ABD kimya endüstrisi ticaret birliği, bir Ukrayna doğalgaz üreticisi ve Bulgaristan'a ait askeri bağlantılı bir kuruluşun siteleri vardı. Meşru bir web sitesini ele geçiremediği durumlarda grup, gerçek sitelerin taklitçisi olan benzer alan adları oluşturdu ve içeriği gerçek zamanlı olarak değiştirip zararlı kodu enjekte etti. Taklit ettiği iki örnek America250 ulusal kutlama web sitesi ve Londra'daki Raffles oteliydi. Üçüncü vektör, Ukrayna web sitesi analitik firması Plerdy'nin tedarik zinciri ihlaliydi. Sekoia'ya göre binlerce web sitesi, çoğu Ukraynalı, şirketin izleme betiklerini kullanıyor. APT29, bu betiğe zararlı kod enjekte ederek bu sitelerin ziyaretçilerini cihaz parmak izi ve istismar dağıtım altyapısına maruz bıraktı. Parmak izi kötücül yazılımı, Android ve iOS cihazlardan cihaz ve tarayıcı verilerini topladı ve bunları APT29 komuta ve kontrol servisine gönderdi; servis daha sonra mobil platform ve tarayıcı/işletim sistemi sürümlerine göre üç farklı istismar zincirinden birini dağıttı. Her zincir, maruz kalan cihazlarda yamalanmamış kalan iOS veya Android'deki belirli güvenlik açıklarını hedefledi. ## Farklı Cihazlar İçin Farklı Saldırı Zincirleri Savunmasız iOS 16.7 cihazlarında APT29'un istismar zinciri, daha önce DarkSword istismar kiti tarafından kötüye kullanılmış CVE-2025-43529 güvenlik açığından ve CVE-2024-27834'ten yararlanarak iOS tarayıcı çerezlerini çaldı. iOS 18.5 çalıştıran cihazlarda tehdit grubu, tehlikeye atılan cihazlardan geniş bir veri yelpazesini dışarı sızdırmak için beş farklı güvenlik açığını içeren tam DarkSword istismar zincirini dağıttı. Yükün toplayabildiği veriler arasında SMS ve iMessage, sesli mesaj, WhatsApp ve Telegram mesajları, saklanan parolalar ve kimlik doğrulama belirteçleri, hesap kimlik bilgileri, arama geçmişi, kişiler, takvim girdileri, notlar, fotoğraflar ve diğer hassas bilgiler yer aldı. Sekoia, kampanyayı APT29'a bağlayan birkaç gösterge buldu; bunlar arasında araştırmacıların daha önce gruba atfettiği ayrı bir 2025 watering hole operasyonunun kalıntıları da vardı. Sekoia ayrıca saldırganların istismarlarını muhtemelen ticari bir gözetim satıcısından üçüncü taraftan elde etmiş olabileceğine dair işaretler buldu. Kampanyanın kurbanları arasında Avrupa ve ABD'de kuruluşlar var, ancak çoğu Ukrayna'da bulunuyor; Ukrayna'daki savaşın başından bu yana Rus tehdit gruplarının sürekli hedef aldığı bir ülke. APT29'un en son kampanyası, mobil cihazların tehdit grupları için cazip istihbarat hedefleri haline geldiğinin bir başka göstergesi. Ticari casus yazılım satıcıları, mobil cihazlar üzerinden büyük ölçekli gözetim ve veri hırsızlığı sağlayan teknolojiyi sunarak bu eğilimi besliyor. APT29'un DarkSword istismar kitini üçüncü taraf sağlayıcıdan temin etmiş olmasının muhtemel olması, bir zamanlar büyük ölçüde hedefli casusluk operasyonlarıyla ilişkilendirilen sofistike mobil sızma yeteneklerinin daha geniş kampanyalara yayıldığını gösteriyor. "Paketlenmiş n-gün istismar zincirlerinin benimsenmesi, gelişmiş mobil istismarın gerçekleştirilmesi için gereken maliyet ve teknik eşiği düşürüyor," diye uyardı Sekoia. "Uzun vadede, ticari gözetim satıcısı istismarlarının devlet destekli sızma kümeleri arasında çoğalmasının ve yeniden kullanılmasının daha sık hale geleceğini değerlendiriyoruz." --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/apt29-binlerce-mobil-kullaniciyi-hedef-alan-watering-hole-saldirilari-duzenledi Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.