Citizen Lab tarafından yayımlanan yeni bir rapor, Avrupa Parlamentosu eski üyesi Stelios Kouloglou'nun, ticari casus yazılımların kötüye kullanımını araştırmakla görevli bir komitede görev yaparken mobil cihazının kötü şöhretli Pegasus casus yazılımı ile defalarca hacklendiğini ortaya koydu. Araştırmacılar, cihazın adli analizinde saldırganların gizli belgelere ve komite müzakerelerine erişmiş olabileceğini belirtti. Enfeksiyonlar henüz belirli bir hükümete atfedilmemiş olsa da, ilk enfeksiyonun daha önce Avrupa'da Rusça ve Belarusça konuşan sürgündeki gazetecileri ve aktivistleri hedef alan bir kampanyayla örtüştüğü tespit edildi.
Kouloglou, 24 Mart 2022'den 18 Temmuz 2023'e kadar Avrupa Parlamentosu'nun 'Pegasus ve eşdeğer gözetleme casus yazılımlarının kullanımını araştırma Soruşturma Komitesi'nde (PEGA) görev yaptı. PEGA Komitesi, 10 Mart 2022'de, AB yasalarına aykırı olarak ticari casus yazılımların kötüye kullanıldığı iddialarını soruşturmak ve üye devletler ile diğer ülkelerin bu tür araçları hak ve özgürlükleri ihlal edecek şekilde ne ölçüde kullandığını belirlemek amacıyla kurulmuştu. Citizen Lab, Mayıs 2026'da toplanan iPhone'daki eserlerin adli analizinin, cihazın 21 Ekim 2022'de ve 6-7 Mart 2023'te Pegasus ile tehlikeye atıldığını gösterdiğini söyledi.
Araştırmacılar, 21 Ekim 2022'de [email protected] adresli bir HomeKit e-posta adresi için arama yapıldığını ve iki dakika sonra bir Pegasus sürecinin mobil veri kullandığını açıkladı. Casus yazılımın, Apple'ın akıllı ev yazılımındaki PWNYOURHOME kod adlı sıfır tıklama açığı kullanılarak teslim edildiği değerlendiriliyor. Bu güvenlik açığı, Apple tarafından iOS 16.3.1 ile giderildi. Mart 2023'te gözlemlenen ikinci Pegasus etkinliğinde de aynı açıktan yararlanıldığı belirtildi. Her iki seferde de Kouloglou'nun cihazı iOS 15.5 çalıştırıyordu. Telefonun daha ileri analizi, Kouloglou'nun 2 Mart 2023, 29 Ağustos 2023 ve 10 Nisan 2024'te olmak üzere üç kez paralı asker casus yazılımı hedefi olduğuna dair Apple tehdit bildirimi aldığını ortaya çıkardı.
İlginçtir ki, Kouloglou'nun telefonunun ilk kez hacklendiği dönemde, seçmeli bir ameliyat için hastaneye yatırılmıştı ve kendisini ziyaret eden Yunan araştırmacı gazeteci Thanasis Koukakis'in telefonu da Intellexa'nın Predator casus yazılımı ile tehlikeye atılmıştı. Koukakis, bir ay önce PEGA Komitesi'ne ifade vermişti. Mart 2023'teki ikinci enfeksiyonun zamanlaması da önemli, çünkü PEGA oturumları ve nihai rapor taslağının hazırlanmasıyla ilgili yoğun tartışmaların yaşandığı döneme denk geldi. Olay, ilk PEGA Komitesi raporunun kabul edilmesinden iki ay önce gerçekleşti. Bu gelişme, bir PEGA Komitesi üyesinin komitede görev yaparken Pegasus mağduru olduğunun ilk kez kamuoyuna açıklanması anlamına geliyor.
Kouloglou'nun vakası ile Avrupa'da Rusça ve Belarusça konuşan bağımsız gazetecileri ve muhalif aktivistleri hedef alan kampanya arasındaki bağlantı, aynı e-posta adresinin ([email protected]) kullanılmasına dayanıyor. Citizen Lab, Pegasus enfeksiyon altyapısını anladıkları kadarıyla bu e-postaların belirli operatörlere özgü olduğuna inandıklarını belirtti. 2023'teki ikinci enfeksiyonun aynı operatörle mi yoksa farklı bir operatörle mi bağlantılı olduğunu söyleyemediklerini ekledi. NSO Group'un lisanslama yapısına göre, bu durum müşterinin birden fazla AB ülkesinde enfeksiyona izin veren bir lisansa sahip olduğunu gösteriyor ve bu da sorumlu olabilecek potansiyel Pegasus operatörlerinin listesini daraltıyor.
Bu bulgular, hükümetlerin terörizm ve çocuk cinsel istismarı gibi ciddi suçlarla mücadele için pazarlanan casus yazılımları, gazetecilerin, yasa koyucuların, muhaliflerin ve eleştirmenlerin iletişimlerini gözetlemek için nasıl kullandığına dair yeni endişeleri gündeme getiriyor. Gelişme, Citizen Lab'in Rus yetkililerin, Cellebrite'nin Rusya ve Belarus'a hizmet vermeyi durdurma kararından üç ay sonra, Haziran 2021'de tutuklu muhalif aktivist Andrey Pivovarov'un iPhone'una girmek için Cellebrite'nin UFED adli araçlarını kullandığını ortaya koymasının ardından geldi. Citizen Lab, yetkililerin Pivovarov'un cihazlarında kilit kuruluşlar, kişiler ve üst düzey muhalif figürler için arama yaptığını belirtti.
Arama terimleri arasında Open Russia'nın kurucusu Mikhail Khodorkovsky, o dönemde Open Russia'da insan hakları avukatı olan ve şu anda önde gelen bir savaş karşıtı gruba liderlik eden Anastasiya Burakova ve Open Russia'nın eski koordinatörü Pivovarov'un ortağı Tatiana Usmanova yer alıyordu. Burakova da dahil olmak üzere bu kişilerden bazıları daha sonra COLDRIVER adlı bir Rus hacker grubu tarafından düzenlenen bir kimlik avı kampanyasında hedef alındı. Bu durum, Cellebrite araçlarının kullanımının keşif amaçlı faaliyetleri kolaylaştırmış ve yurt dışındaki diğer rejim muhaliflerinin daha fazla hedef alınmasına ve gözetlenmesine olanak sağlamış olabileceği ihtimalini güçlendiriyor. Citizen Lab, Nisan ayında ayrıca, küresel telekom altyapısındaki iyi bilinen zayıflıkları kötüye kullanarak kişilerin konumlarını takip eden iki farklı, uzun süreli casusluk kampanyası tespit etti. Bu saldırılar, kötü amaçlı yazılım dağıtımını gerektirmediği için gizli ve tespit edilmesi daha zor.
Sistem Güvenliği
Kampanyalardan biri, hedeflere gizli SMS komutları içeren özel bir metin mesajı göndererek 'cihazı gizli bir takip işaretçisine dönüştürmeyi' amaçlıyordu. İkinci kampanya ise Si adlı bir güvenlik açığından yararlanıyordu. Bu raporlar, devlet destekli casus yazılımların ve gözetleme teknolojilerinin demokratik süreçler ve insan hakları üzerindeki tehdidini bir kez daha gözler önüne seriyor. Özellikle PEGA Komitesi gibi bu tür araçların kötüye kullanımını araştırmakla görevli bir organın üyesinin hedef alınması, sorunun ne kadar derin olduğunu gösteriyor. Kullanıcıların, cihazlarını güncel tutmaları ve şüpheli bağlantılardan kaçınmaları gibi temel güvenlik önlemlerinin yanı sıra, Apple'ın tehdit bildirimleri gibi uyarıları ciddiye almaları büyük önem taşıyor.
Kaynak: thehackernews.com
