Saldırının Genel Çerçevesi
Coruna iOS kiti, 2023 yılında ortaya çıkan ve Üçgenleme adı verilen bir güvenlik açığını tekrar kullanarak yeni saldırı kampanyalarına başladı. Bu zafiyet, iOS cihazlarda belirli API çağrılarının kötüye kullanılmasıyla gerçekleşiyor ve saldırganlara cihaz üzerinde uzaktan kontrol imkanı sağlıyor. Son raporlara göre, saldırılar özellikle finans, sağlık ve kamu sektöründeki mobil kullanıcıları hedef alıyor.
Saldırı Zinciri ve Teknik Detaylar
Saldırı süreci genellikle şu adımlardan oluşuyor:
- Başlangıç: Hedefe yönelik gelişmiş phishing e-postaları ile kötü amaçlı bağlantılar veya ekler gönderiliyor.
- İstismar: Üçgenleme açığı (CVE-2023-XXXX) kullanılarak iOS cihazlarda yetkisiz kod çalıştırılıyor.
- Komut ve Kontrol: AsyncRAT benzeri araçlarla cihazlar uzaktan kontrol edilip veri sızdırılıyor.
Bu süreçte MCP istemcisi ve Pydantic AI tabanlı analiz araçları kullanılarak saldırının tespiti zorlaştırılıyor. Ayrıca, saldırganlar konteyner ortamlarında rastgele SSH portları açarak gizliliklerini artırıyor.
Sistem Yöneticileri ve SOC Ekipleri İçin Öneriler
- iOS cihazlarda en güncel güvenlik yamalarını uygulayın ve CVE-2023-XXXX açığını kapatın.
- Phishing saldırılarını önlemek için gelişmiş e-posta güvenliği çözümleri kullanın.
- EDR ve SIEM sistemlerinde Üçgenleme açığına yönelik özel tespit kuralları oluşturun.
- Mobil cihaz yönetimi (MDM) politikalarını sıkılaştırarak yetkisiz uygulamaların yüklenmesini engelleyin.
- Ağ segmentasyonu ile kritik sistemleri mobil cihazlardan izole edin.
- Çok faktörlü kimlik doğrulama (MFA) uygulayarak hesap güvenliğini artırın.
- Olay müdahale (incident response) planlarınızı güncelleyerek hızlı aksiyon alın.
- Loglarda anormal API çağrılarını ve C2 iletişimlerini düzenli olarak analiz edin.
Kurumsal Ortamlarda Olası Senaryo
Örneğin, bir finans kurumunda çalışanlar iOS tabanlı cihazları yoğun şekilde kullanıyor. Phishing yoluyla bir çalışanın cihazına bulaşan Coruna kiti, Üçgenleme açığını kullanarak cihazda arka kapı oluşturuyor. Bu sayede saldırganlar, finansal verilere erişim sağlıyor ve kritik bilgileri dışarı sızdırıyor. Kurumun yetersiz ağ segmentasyonu ve eksik MFA uygulamaları, saldırının etkisini artırıyor.