Google, yakın zamanda Samsung cep telefonlarında keşfedilen üç sıfırıncı gün güvenlik açığının ticari bir gözetim şirketi tarafından kullanıldığına dair kanıtları olduğunu iddia ediyor.
Sıfırıncı-gün Saldırısı (Zero-day Attack) Nedir?
Siber güvenlik dünyasında kullanımı son derece yaygın bir ifade olan zero-day attack, güvenlik açıklarını hedefleyerek bilgisayar korsanlarının sistemlere saldırmak için kullandığı bir siber saldırı tekniğini tanımlar. Genellikle güvenlik açığı, istismar ve tehdit terimleriyle ilişkilendirilse de aradaki farklı anlamak önemlidir.
Samsung’un tescilli yazılımında bulunan kusurlar, Samsung Android destekli akıllı telefonları hedef alan bir saldırı zincirinin parçası olarak kullanıldı. Zincirleme kusurlar bir saldırgana çekirdeğe kök okuma ve yazma erişimi sağlıyor, bu da sonuçta bir cihazdaki verileri açığa çıkarıyor.
Google Project Zero güvenlik araştırmacısı Maddie Stone tarafından yayınlanan bir blog yazısına göre, belirli bir çekirdek sürümünü çalıştıran Exynos çipi, istismar zincirinin hedefidir. Exynos çipleri ağırlıklı olarak Avrupa, Orta Doğu ve Afrika’da satılan Samsung telefonlarda kullanılıyor ve bu da gözetleme hedeflerinin en çok bulunduğu yer.
S10, A50 ve A51, Stone’un bahsettiği ve o sırada etkilenen çekirdeği kullanan Samsung telefonları arasındaydı.
O zamandan beri yamalanmış olan kötü niyetli bir Android yazılımı, boşluklardan yararlandı ve kullanıcıyı uygulama mağazası dışında bir yerden yüklemesi için yanılttı. Sahte yazılım, faaliyetlerini kısıtlamayı amaçlayan uygulama sanal alanından başarıyla kaçtıktan sonra saldırgana cihazın işletim sisteminin geri kalanına erişim sağlıyor. Her ne kadar bu üç kusur yazılımın nihai teslimatı için kapıyı açmış olsa da Stone, saldırı programının sadece bir kısmının gerçekten elde edildiğini belirtti.
Stone’a göre zincirin temeli, “bu zincirdeki ilk güvenlik açığı olan keyfi dosya okuma ve yazma, dört farklı kez kullanıldı ve her aşamada en az bir kez kullanıldı”. Bu kadar ayrıcalıklı bir seviyede çalışmasına rağmen Stone, “Android cihazlardaki Java bileşenlerinin güvenlik araştırmacıları için en önemli hedefler gibi görünmediğini” belirtti.
Google, ticari gözetim tedarikçisinin adını açıklamayı reddetti, ancak istismarın, hileli Android uygulamalarının güçlü ulus devlet casus yazılımlarını yaymak için kullanıldığı son cihaz enfeksiyonlarına benzer bir model izlediğini iddia etti.
RCS Lab tarafından yaratılan ve hükümetler tarafından İtalya ve Kazakistan’da bilinen kurbanlarla hedefli saldırılarda kullanılan bir Android ve iOS casus yazılım programı olan Hermit, bu yılın başlarında güvenlik araştırmacıları tarafından ortaya çıkarıldı.
Hermit, sahte bir mobil operatör destek uygulaması gibi uygulama mağazası dışından kötü amaçlı programı indirip kurması için bir hedefi kandırmaya dayanıyor ve ardından kurbanın kişilerini, ses kayıtlarını, fotoğraflarını, videolarını ve kesin konum bilgilerini topluyor.
Google, Hermit’in bulaştığı Android cihaz sahiplerini bilgilendirmeye başladı. Gözetim tedarikçisi Connexxa da kötü amaçlı yan yüklenmiş uygulamalar kullanan Android ve iPhone cihaz sahiplerini hedef aldı.
Samsung üç güvenlik açığını 2020’nin sonlarında Google’dan aldı ve Samsung savunmasız telefonları Mart 2021’de yamaladı. Ancak Samsung o dönemde güvenlik açıklarının kendilerine karşı aktif olarak kullanıldığını açıklamamıştı. Stone, Samsung’un o zamandan beri güvenlik açıklarından aktif olarak yararlanıldığında bunu açıklamaya başlamayı kabul ettiğini ve güvenlik yamalarında aynı şeyi yapan Apple ve Google’a katıldığını iddia etti.
Stone, “bu açık zincirinin incelenmesi bize saldırganların Android cihazları nasıl hedef aldıklarına dair yeni ve değerli bilgiler verdi” diyerek, daha fazla araştırmanın Samsung gibi Android cihaz üreticileri tarafından oluşturulan özel yazılımlarda yeni kusurları ortaya çıkarabileceğini ima etti.
“Üreticiye özgü parçaların daha fazla araştırılması gerektiğini gösteriyor. Stone’a göre, daha fazla varyant çalışmasının gerekli olduğu yerleri gösteriyor.
Kaynak: techcrunch.com/2022/11/10/google-surveillance-samsung-spyware/
