Sinyalin Casus Yazılımla Kötüye Kullanılması ve ABD Yetkililerini Hedef Alan WhatsApp

Siber Güvenlik ve Altyapı Güvenliği Ajansı’nın bir tavsiye belgesinde, “birden fazla siber tehdit aktörünün, mobil mesajlaşma uygulamalarının kullanıcılarını hedeflemek için aktif olarak ticari casus yazılımlardan yararlandığı” ve kurbanın hesabına ve cihazına “casus yazılım dağıtmak ve yetkisiz erişim elde etmek için gelişmiş hedefleme ve sosyal mühendislik tekniklerini” kullandığı vurgulandı. Uyarıda, kanıtların, tehdit aktörlerinin hesapları tehlikeye atmak için kimlik avı ve kötü amaçlı cihaz bağlantılı QR kodlarının yanı sıra “cihaz kullanıcısının doğrudan eylemini gerektirmeyen” sıfır tıklama açıklarından yararlanma ve popüler mesajlaşma uygulamalarının kimliğine bürünme kullandığını gösterdiği belirtiliyor.

Uyarı, Trump yönetiminin “SignalGate” adı verilen ilk güvenlik skandallarından birinden aylar sonra geldi; bu skandalda Beyaz Saray ulusal güvenlik ekibi üyeleri, bir muhabirin de dahil olduğu kötü yönetilen bir Signal grup sohbeti aracılığıyla kazara hassas planlama tartışmalarını ifşa etti. Bu bölüm, Trump yönetimi yetkililerinin neden bilgisayar korsanlığına açık ticari cihazlardaki gizli veya hassas borsaları ele aldığına dair soruları gündeme getirdi (bkz.: TeleMessage, Trump Danışmanı Fotoğrafı Serpintisinden Sonra Karardı).

CISA, kanıtların mevcut ve eski üst düzey hükümet, askeri ve siyasi yetkililerin yanı sıra ABD, Orta Doğu ve Avrupa’daki sivil toplum kuruluşları ve risk altındaki bireyler de dahil olmak üzere yüksek değerli bireylere odaklanıldığına işaret ettiğini söyledi. Ajans üç ana tekniğe dikkat çekti: Bir saldırganın kurbanın hesabına erişim sağlamasına olanak tanıyan kimlik avı ve kötü amaçlı cihaz bağlantılı QR kodları, kullanıcının herhangi bir etkileşimi gerektirmeyen sıfır tıklama açıkları ve hedefleri casus yazılım yüklemeleri veya kimlik bilgilerini teslim etmeleri için kandırmak amacıyla Signal ve WhatsApp gibi ana akım platformların kimliğine bürünme.

CISA, Google’ın son zamanlardaki araştırmasına dikkat çekerek, Rus bağlantılı çok sayıda casus grubunun Signal’in “bağlantılı cihazlar” özelliğini, kurbanları hesaplarını bir saldırganın altyapısına sessizce bağlayan kötü amaçlı QR kodlarını taramaya zorlayarak kötüye kullandığını belgeledi. Ekstra cihaz bağlandıktan sonra mesajlar kurbana ve tehdit aktörüne paralel olarak iletilebilir ve kurbanın cihazının tamamen tehlikeye atılmasına gerek kalmadan kalıcı erişime izin verilir.

Tavsiye niteliğindeki rapor, tehdit aktörlerinin kurbanlarını kandırmak için kimlik avı sayfaları yerine nasıl giderek daha fazla tamamen sahte mesajlaşma uygulamaları kullandığını gösteren araştırmayı işaretledi. Son raporlar, Android casus yazılım ailelerinin, güvenliği ihlal edilmiş cihazlardan sohbet yedeklerini, belgeleri, medyayı ve kişileri sızdırmak için oluşturulmuş altyapıyla Birleşik Arap Emirlikleri’ndeki kullanıcıları hedef almak için nasıl Signal gibi davrandığını ortaya çıkardı.

Uyarı, ABD federal yargıcının Ekim ayında büyük casus yazılım tedarikçisi NSO Group’un WhatsApp’ı hedeflemesini kalıcı olarak engelleyen kararı da dahil olmak üzere, ticari casus yazılımlara yönelik küresel çapta devam eden bir baskının ortasında geldi. Meta’nın sahibi olduğu sohbet uygulamasının bir sözcüsü, daha önce NSO Group’u “kötü şöhretli bir yabancı casus yazılım tüccarı” olarak nitelendirmiş ve kararı “gizlilik ve güvenlik açısından ileriye doğru atılmış önemli bir adım” olarak kutlamıştı (bkz: ABD Mahkemesi, WhatsApp Hack’i Nedeniyle Casus Yazılım Üreticisi NSO’yu Engelledi).