iPhone Safari saldırısında iOS 26.5 iddiası kanıtsız: SlowMist açıkladı

SlowMist, iPhone kullanıcılarını hedef alan Safari saldırısının kripto para hırsızlığıyla bağlantısını doğrulayamadığını açıkladı. Şirketin Cointelegraph'a verdiği bilgiye göre, en güçlü teknik kanıtlar iOS 18.4 ile 18.6.2 arasındaki sürümleri kapsıyor; iOS 26.5'in etkilendiği yönündeki iddialar ise 'ön değerlendirme' olarak nitelendiriliyor.

iOS 26.5 iddiası kanıtsız

Bu hafta yayımlanan çok sayıda rapor, iPhone kullanıcılarını cihazlarını derhal güncellemeye çağırdı ve kötü amaçlı Safari sayfalarının kripto para özel anahtarları ile kurtarma ifadelerini ele geçirebileceği uyarısında bulundu. Bazı raporlarda etkilenen sürüm aralığı iOS 13'ten iOS 26.5'e kadar genişletildi.

İlgili: Anthropic'in güvenlik programı OSS Scanner'a Nethermind ve ZEUS başvurdu

SlowMist, bu aralığın ön değerlendirme olduğunu vurguladı. Şirket, "iOS 26.5'in etkilendiğini söylemekten kaçınıyoruz; tekrarlanabilir teknik kanıt elde edilene kadar bu sürümü kapsama dahil etmiyoruz" açıklamasını yaptı. Şirketin en güçlü teknik kanıtı iOS 18.4 ile 18.6.2 arasındaki sürümleri kapsıyor.

DarkSword tekniklerinin yeniden kullanımı

Saldırı, daha önce ifşa edilen DarkSword exploit zincirindeki teknikleri yeniden kullanıyor. Google Threat Intelligence Group (GTIG), DarkSword'ü Mart ayında kamuoyuna açıklamış ve en az Kasım 2025'ten bu yana birden fazla tehdit aktörü tarafından kullanıldığını belirtmişti.

SlowMist'in güvenlik istihbarat ekibi MistEye, ilgili aktiviteyi Mayıs ayı başında tespit etti. Şirket, 4 Eylül'de yayımladığı WYINCC Safari kampanyası analizinde, ücretsiz sanal özel sunucu hizmeti reklamı yapan kötü amaçlı bir web sayfasını inceledi. Sayfa, iPhone'da Safari ile açıldığında kullanıcının ek bir tıklamasına gerek kalmadan istismar kodunu yüklüyordu. Zincirde kullanılan açıkların Apple tarafından daha önce kapatıldığı bildirildi.

Saldırının hedefi: Keychain ve cüzdan verileri

Analiz edilen kötü amaçlı örnek, Apple'ın Keychain hizmetine erişerek orada saklanan bilgileri almak ve şifresini çözmek için tasarlanmış bir bileşen içeriyor. Kod ayrıca uygulama dosyalarına ve paylaşılan uygulama verilerine erişebiliyor; bu da kripto cüzdan uygulamalarının sakladığı bilgilerin ele geçirilme potansiyelini ortaya koyuyor.

SlowMist, "Örnek, toplama yeteneğini ve hedeflenen veri türlerini gösteriyor; bu tek başına her hedef cüzdandan başarılı veri çıkarıldığını kanıtlamaz" değerlendirmesinde bulundu. Şirket, gerçek bir kurban cihazında zincirin tamamını çalıştırmadığını ve bu örnekle başarılı şekilde ele geçirildiği bağımsız olarak doğrulanmış belirli bir mağdur tespit edemediğini ekledi.

SlowMist'in önerileri

Kanıt sınırlarına rağmen SlowMist, iPhone kullanıcılarına cihazları için mevcut en güncel iOS güvenlik güncellemelerini yüklemelerini ve şüpheli bağlantılardan kaçınmalarını tavsiye etti. Hemen güncelleyemeyen veya yüksek risk altındaki kullanıcılar için Apple'ın Lockdown Mode özelliğinin ek savunma olarak değerlendirilebileceği belirtildi; ancak bu özelliğin söz konusu Safari saldırısını tamamen engellediği doğrulanmadı.

Kripto para cüzdan anahtarı veya kurtarma ifadesinin açığa çıktığından şüphelenen kullanıcıların, potansiyel olarak ele geçirilmiş kimlik bilgilerini kullanmaya devam etmek yerine temiz bir cihazda yeni oluşturulacak bir cüzdana varlıklarını taşımaları önerildi.

Bu gelişmeler yaşanırken Bitcoin gün içinde yüzde 1,24 artışla 84.435 dolardan işlem görüyor.