P7 DarkSword iOS Kiti Kripto Cüzdan ve Anahtar Zinciri Verilerini Çalıyor

Siber güvenlik araştırmacıları, DarkSword iOS exploit kitinin P7 DarkSword adı verilen daha önce görülmemiş bir varyantını ortaya çıkardı. iVerify tarafından perşembe günü yayımlanan rapora göre yeni varyant, genellikle gözlemlenen sürümlere kıyasla cihaz üzerindeki ayak izini azaltıyor, doğrudan telefon üzerinde Anahtar Zinciri ve kripto cüzdan hırsızlığı ekliyor ve saldırgan altyapısıyla çift yönlü komuta kontrol iletişimi kuruyor. Varyanta verilen "P7" ismi, tehdit aktörünün orijinal DarkSword kodunda yaptığı değişikliklerde "p7_" değişken ön ekini kullanmasından geliyor.

P7 DarkSword'u Önceki Varyantlardan Ayıran Yenilikler​

iVerify, P7 DarkSword'un gizlilik ve kararlılık odaklı bir evrim olduğunu belirtti. Yeni sürüm, HTTP istekleri ve syslog üzerinden yapılan hata ayıklama günlüklerini ortadan kaldırıyor ve yeniden sömürüyü engellemek için tarayıcının localStorage alanını kullanıyor. Önceki varyantlar Anahtar Zinciri veritabanını kopyalayıp saldırgan altyapısında işlemek üzere dışarı aktarırken, P7 sürümü verileri dışa aktarmadan önce doğrudan telefon üzerinde JSON formatına dönüştürerek çıkarıyor. Şirket, "Implant SpringBoard sürecine enjekte ediliyor ve saldırgan altyapısıyla tüm iletişimi bu süreç yürütüyor" ifadesini kullandı. Bu yaklaşım, hem iz bırakmayı azaltıyor hem de çalınan verinin kalitesini artırıyor.
Rapora göre son dönemde gözlemlenen diğer varyantlar da benzer hedeflere odaklanıyor. iVerify, geçen ay exploit kitinin kamuya açıklanmasından kısa süre sonra sızdırılmasıyla tetiklenen, muhtemelen büyük dil modelleri desteğiyle iOS 26.x sürümlerini desteklemek için çerçeveyi güncellemeye yönelik çok sayıda başarısız girişim tespit ettiğini açıkladı. Bu girişimlerin de kararlılık, gizlilik ve çalınan verinin niteliğini iyileştirmeye odaklandığı belirtildi.

DarkSword'un Ortaya Çıkışı ve Hedef Aldığı iOS Sürümleri​

DarkSword ilk olarak bu yılın mart ayında Google Tehdit İstihbarat Grubu (GTIG), iVerify ve Lookout tarafından ortaklaşa belgelendi. Kitin, iOS 18.4 ile 18.7 arasındaki sürümleri çalıştıran iPhone'ları hedef alabildiği ve Kasım 2025'te vahşi ortamda tespit edildiği aktarıldı. Araç seti, tarayıcı korumalı alanından kaçmak, çekirdek ayrıcalıklarına yükselmek ve ana yükü, uygulama başlatma ve ana ekranı yöneten iOS süreci SpringBoard'a enjekte etmek için birden fazla iOS güvenlik açığını zincirleyecek şekilde tasarlandı.
Sömürü zincirinin ticari bir ürün olarak geliştirildiği, bir şekilde ikinci el pazara düştüğü ve 2025 sonlarından itibaren finansal motivasyonlu operatörler ile diğer tehdit aktörleri tarafından edinildiği değerlendiriliyor. Kit, birden fazla aktör tarafından Suudi Arabistan, Türkiye, Malezya ve Ukrayna'yı hedef alan saldırılarda kullanıldı. Bu aktörler arasında sahte Snapchat temalı bir web sitesi üzerinden faaliyet gösteren PARS Defense adlı Türk ticari gözetim satıcısı ve sahte davet yemleri kullanan Star Blizzard (COLDRIVER) olarak bilinen Rusya bağlantılı tehdit aktörü de bulunuyor.
Ağustos 2026'da saldırı yüzeyi yönetimi platformu Censys, kimliği bilinmeyen Çince konuşan bir tehdit aktörünün Apple iOS cihazlarını exploit kitiyle hedef aldığı ve buna ek olarak sahte bir Apple ID giriş sayfası sunduğu bir kampanyayı detaylandırdı.

Çift Yönlü C2 İletişimi ve Cihazdaki Komut Yetkinlikleri​

P7 DarkSword'un en dikkat çekici özelliği, implantın her 15 saniyede bir komut için yoklama yapması. Bu süreçte implant, "heartbeat" mesajı gönderiyor, yüklü uygulamaların listesini iletiyor, iCloud Anahtar Zinciri bilgilerini ve Apple Notes, Photos ile kripto para cüzdanları gibi uygulamalardan gelen verileri aktarıyor. Periyodik yoklamaya verilen yanıt, kurbanın telefonunda yürütülecek komutları içeriyor.
iVerify tarafından listelenen komutlar, implantın cihaz üzerinde geniş bir kontrol sağladığını gösteriyor:

• execute_command: ls, dir, cat, mkdir, rm, echo, ps, memdump, ipconfig, netstat ve whoami gibi işletim sistemi komutlarını çalıştırma
• ls: dizin içeriklerini listeleme
• download: cihazdan bir dosyayı okuyup C2 sunucusuna yükleme
• photos: "/var/mobile/Media/DCIM" yolundan fotoğraf dosyalarını yükleme
• apps: uygulama kapsayıcılarını numaralandırma ve paket kimliklerini çıkarma
• exec: implant çalışma zamanı içinde doğrudan rastgele JavaScript yürütme
• file_upload: bir veya daha fazla yolu yinelemeli olarak tarayıp eşleşen dosyaları yükleme
• basic_info: cihaz meta verilerini C2 sunucusuna gönderme
• disk_scan: dosya sistemini "/" kökünden başlayarak yinelemeli tarama, dosya, dizin ve sembolik bağlar için meta verileri kaydetme ve rapor halinde yükleme
• ios_app_data: istenen paket kimlikleri için uygulama korumalı alan ve uygulama grubu kapsayıcılarını bulup seçili uygulama dosyalarını yükleme
• wallet_scan: yüklü cüzdan uygulamalarını tarama
• wallet_extract: imToken cüzdan uygulaması için cüzdanla ilgili verileri çıkarma
• memo_scan: Apple Notes veritabanlarını yükleme
• photo_scan: Apple Photos'tan fotoğrafları yükleme
• sleep: işaretçi yoklama aralığını değiştirme
• exit: işaret döngüsünü durdurma ve implantı sonlandırma

\n

Coruna ile Bağlantı ve Açık Dizinlerde Tespit Edilen Altyapı​

Bu açıklama, Censys'in DarkSword ve bu yıl iOS 13.0 ile 17.2.1 arasındaki sürümleri çalıştıran iPhone modellerini hedef aldığı ortaya çıkarılan bir diğer iOS exploit kiti Coruna ile ilgili bileşenler taşıyan beş ana bilgisayarda açık dizinler tespit etmesiyle aynı döneme denk geldi. Censys, "Coruna, aynı ekosistemin dağıttığı tamamlayıcı yük kitidir. Aşamaları, DarkSword'un sömürü aşamaları yerleştikten sonra kurbanın tarayıcı oturumu içinde çalışır ve cüzdan toplama modülleri iOS uygulamalarından kripto kurtarma ifadelerini, bakiyeleri ve anahtar deposu verilerini çalar. Operatörler DarkSword ve Coruna'yı kendi C2 altyapılarına karşı birlikte çalıştırıyor" dedi.
Tespit edilen beş ana bilgisayar şöyle sıralandı:

• 43.134.165[.]205: DarkSword ve Coruna'yı tek pakette birleştiren DS-Fusion v1.0 (DarkSword Fusion) sunuyor
• 166.88.95[.]90: implantın C2 sunucusu olarak çalışıyor ve 6 Eylül 2026'da birkaç saat boyunca her üç saniyede bir işaret sayfasını yoklayan iki gerçek Çin iOS cihazı (183.154.173[.]30 ve 182.239.114[.]223) kaydetti
• 23.148.212[.]237: operatörün iOS 26 için (CVE-2026-31001 gibi) DarkSword veya Coruna kapsamında olmayan exploit zincirleri geliştirdiğini gösteren analiz çalışma alanı olarak hizmet veriyor
• 47.102.192[.]23: Coruna kiti için hazırlama ana bilgisayarı olarak hizmet veriyor
• 156.239.230[.]120: tüm C2 platformunu ifşa ediyor ve 15 Eylül 2026'da bir cihazı yoklarken gözlemlendi

\nCensys araştırmacısı Aidan Holland, "Platform, Çince konuşan bir sömürü-hizmeti operasyonu yürütüyor. Yönetici paneli bir ajan/bayi modelini ortaya koyuyor ve üretim sunucusunun bir kopyası 11 kurban kurtarma ifadesi, 179 cihaz ganimet dizini ve 75 hesaplı bir kontrol düzlemi kadrosu barındırıyordu" dedi. Açık dizin kümesi ve 156.239.230[.]120 platformunun, kripto cüzdan hırsızlığı amacıyla Çince konuşan bir tehdit aktörü tarafından işletildiğinden şüpheleniliyor, ancak arkasında tam olarak kimin olduğu bilinmiyor. Operatörün Tencent ve Shenyang barındırma hizmetleri üzerinde bulunduğu ve benzersiz bir kendinden imzalı sertifika yetkilisi aracılığıyla operatörle ilişkilendirildiği belirtildi.
Censys ayrıca, aynı kiti vahşi ortamda kendi C2 sunucusu "66ds[.]lol" üzerinde çalıştıran ve açık dizin setinde bulunmayan yeni bir kripto cüzdan hedefi olan BitKeep'i de ekleyen ayrı bir Çin merkezli operatör tespit etti. Bulgular, kitin finansal motivasyonlu aktörler arasında yayılımını bir kez daha gözler önüne seriyor.

Ortaya Çıkan İki Yeni CVE ve Sömürü Zinciri​

Üretim sunucusunun exploit kayıt defterinin analizi, DarkSword exploit kitinin daha önce belgelenmemiş iki CVE tanımlayıcısı içerdiğini ortaya koydu. Bunlar, WebKit motorundaki sınır dışı yazma güvenlik açığı olan ve saldırganın Web İçeriği korumalı alanından çıkmasına olanak tanıyan CVE-2025-24201 (iOS 18.3.2 ve iPadOS 18.3.2'de düzeltildi) ile kötü amaçla oluşturulmuş bir medya dosyasındaki ses akışı işlenirken kod yürütülmesine izin veren Core Audio çerçevesindeki bellek bozulması güvenlik açığı CVE-2025-31200 (iOS 18.4.1 ve iPadOS 18.4.1'de düzeltildi) olarak açıklandı.

Sıkça Sorulan Sorular​

P7 DarkSword nedir ve adını nereden alıyor?​

P7 DarkSword, siber güvenlik araştırmacılarının açıkladığı DarkSword iOS exploit kitinin daha önce görülmemiş bir varyantıdır. iVerify raporuna göre adını, tehdit aktörünün orijinal DarkSword kodunda yaptığı değişikliklerde "p7_" değişken ön ekini kullanmasından alıyor.

P7 DarkSword önceki sürümlere göre ne gibi yenilikler içeriyor?​

iVerify'e göre P7, cihaz üzerindeki ayak izini azaltıyor, HTTP istekleri ve syslog üzerinden hata ayıklama günlüklerini kaldırıyor, yeniden sömürüyü engellemek için tarayıcı localStorage'ını kullanıyor, Anahtar Zinciri verilerini kopyalamak yerine doğrudan telefonda JSON'a dönüştürerek çıkarıyor ve çift yönlü C2 iletişimi ile kripto cüzdan verisi hırsızlığı ekliyor.

DarkSword ilk olarak ne zaman belgelendi ve hangi iOS sürümlerini hedef alıyor?​

DarkSword ilk olarak Mart ayında Google Tehdit İstihbarat Grubu, iVerify ve Lookout tarafından belgelendi. Kitin iOS 18.4 ile 18.7 arasındaki sürümleri hedef aldığı ve Kasım 2025'te vahşi ortamda tespit edildiği bildirildi. Coruna adlı tamamlayıcı kit ise iOS 13.0 ile 17.2.1 arasındaki sürümleri hedef alıyor.

P7 DarkSword bulaştığı cihazda hangi komutları çalıştırabiliyor?​

Implant SpringBoard'a enjekte edildikten sonra her 15 saniyede bir yoklama yapıyor ve execute_command, ls, download, photos, apps, exec, file_upload, basic_info, disk_scan, ios_app_data, wallet_scan, wallet_extract, memo_scan, photo_scan, sleep ve exit gibi komutlarla dosya listeleme, dosya yükleme, uygulama verisi toplama, cüzdan tarama ve JavaScript yürütme gibi işlemleri gerçekleştirebiliyor.

Araştırmacıların tespit ettiği yeni güvenlik açıkları ve altyapı nedir?​

Censys'in üretim sunucusu analizinde daha önce belgelenmemiş iki açık bulundu: WebKit'te sınır dışı yazma olan CVE-2025-24201 ve Core Audio'da bellek bozulması olan CVE-2025-31200. Ayrıca beş açık dizinli ana bilgisayar (43.134.165[.]205, 166.88.95[.]90, 23.148.212[.]237, 47.102.192[.]23, 156.239.230[.]120) ve "66ds[.]lol" üzerinde BitKeep hedefli ayrı bir operatör tespit edildi.