CloudSEK Raporu, Apple’ın Tehdit Bildirimlerinin Ardından Sahte Pegasus Casus Yazılımlarının Artışını Vurguluyor

Bir siber güvenlik firması olan CloudSEK, Apple’ın tehdit bildirimlerinin geçen ay 92 ülkedeki iPhone kullanıcılarına gönderilmesinin ardından bir soruşturma başlattı ve tavsiyenin yayınlanmasından kısa bir süre sonra derin ve karanlık ağda sahte Pegasus casus yazılımlarında bir artış görüldüğünü tespit etti. Dikkat çekici bir şekilde Apple, uyarısıyla bağlantılı olarak herhangi bir tehdit aktörünün adını vermedi ancak örnek olarak NSO grubuna ait Pegasus casus yazılımından bahsetti. CloudSEK, bunun dolandırıcıların Pegasus kaynak kodu olarak sahte kötü amaçlı yazılım satmasına yol açmış olabileceğine inanıyor.

CloudSEK’in soruşturmasının ayrıntıları

Apple’ın ardından uyarı Nisan ayında CloudSEK araştırmacıları, gerçek Pegasus casus yazılımının satın alınıp alınamayacağını veya dolandırıcıların potansiyel alıcıları dolandırmak için Pegasus adını kullanıp kullanmadığını görmek için yüzey ağının yanı sıra derin ve karanlık ağı da araştırmaya başladı. İçinde rapor “Danışmanın Arkasında: Apple’ın Uyarı ve Casus Yazılım İkilemini Çözmek” başlıklı siber güvenlik firması, Internet Relay Chat (IRC) platformlarına sık sık uğradığını belirtti. Telegram’daki yaklaşık 25.000 gönderiyi analiz eden araştırmacılar, gönderilerin büyük bir kısmının orijinal Pegasus kaynak kodunu sattığını iddia ettiğini buldu.

CloudSEK’in Telegram’daki araştırması
Fotoğraf Kredisi: CloudSEK

Bu satış uyarı gönderileri de aynı modeli izledi. Alıcıları ikna etmek için NSO Tools ve Pegasus gibi kelimeler kullanıldı. Bu tür “Pegasus” casus yazılımlarının 150’den fazla potansiyel satıcısıyla etkileşime giren rapor, örneklerin kaynak kodunu, kötü amaçlı yazılımın kullanımına ilişkin canlı video gösterilerini ve kaynak kodunun anlık görüntülerini içerdiğini ortaya çıkardı. Bunların hepsi Pegasus’u çağrıştıran isimlerle yapıldı.

Araştırmacılar ayrıca Mayıs 2022 ile Ocak 2024 arasında Deep Web’de yayınlanan Pegasus HNVC (Gizli Sanal Ağ Bilgi İşlem) adlı altı benzersiz örnek buldu ve bu örneklerin tehdit aktörleri arasında yaygınlaştığını öne sürdü. Benzer örnekler yüzey ağında da bulundu.

CloudSEK’in bulguları

Siber güvenlik grubu sonunda çeşitli kaynaklardan 15 örnek ve 30’dan fazla gösterge elde etti. Ancak, “neredeyse hepsinin kendi sahte, etkisiz araçlarını ve komut dosyalarını oluşturduğunu ve bunları Pegasus ve NSO Grubu’nun adından önemli mali kazanç elde etmek için Pegasus adı altında dağıtmaya çalıştıklarını” tespit etti.

Kötü aktör gruplarının, Apple’ın tavsiyeleri ve Pegasus isminden bahseden çok sayıda haberin yarattığı sansasyondan yararlanarak, kendi oluşturdukları rastgele Pegasus etiketli örnekleri satmak için kullandıklarına inanılıyor. Bu casus yazılımlar hâlâ zararlı olabilir ve kurbanlara zarar verebilir ancak büyük olasılıkla NSO Grubu veya Pegasus ile ilişkili değildir.

Rapor, bir tehdit saldırısı olayının ardından, tehdit aktörlerini doğru bir şekilde belirlemek için eleştirel bir inceleme yapılması çağrısında bulundu; çünkü bu, hem siber güvenlik şirketlerinin takviyeleri belirlemesine ve önermesine yardımcı olabilir hem de insanlar arasında paniğin yayılmasını önleyebilir.