ABD Siber Güvenlik Ajansı CISA, Mobil Mesajlaşma Uygulamalarını Hedef Alan Casus Yazılımlara Karşı Kırmızı Alarm Verdi

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Pazartesi günü yayınladığı kritik bir uyarı ile mobil mesajlaşma uygulamalarını hedef alan aktif casus yazılım kampanyalarına dikkat çekti. Özellikle Signal ve WhatsApp gibi şifreli mesajlaşma platformlarını kullanan yüksek profilli hedeflere yönelik saldırıların arttığı belirtiliyor. Ortaya çıkan bilgilere göre, saldırganlar ticari casus yazılımları ve uzaktan erişim truva atlarını (RAT) kullanarak cihazları ele geçiriyor.

Bu yeni uyarı, CISA’nın “Bilinen İstismar Edilen Güvenlik Açıkları” (KEV) kataloğuna eklediği ve aktif olarak kullanıldığı doğrulanan kritik güvenlik açıklarıyla doğrudan bağlantılı. Saldırganların, kullanıcı etkileşimi gerektirmeyen (zero-click) yöntemlerle cihazlara sızdığı ve hassas verileri çaldığı raporlanıyor.

Tespit Edilen Kritik Güvenlik Açıkları ve Saldırı Yöntemleri

CISA ve güvenlik araştırmacılarının analizlerine göre, son dönemde tespit edilen saldırılar iki ana güvenlik açığı üzerinde yoğunlaşıyor. Bu açıklar, saldırganların hedef cihazlarda tam yetki sağlamasına olanak tanıyor.

1. Samsung Görüntü İşleme Açığı (CVE-2025-21042) ve LANDFALL Casus Yazılımı

Mobil dünyayı sarsan en kritik açıklardan biri, Samsung’un görüntü işleme kütüphanesinde tespit edilen CVE-2025-21042 kodlu zafiyet. Bu açık, saldırganların bellek sınırlarını aşarak (out-of-bounds write) cihazda kod yürütmesine izin veriyor.

Saldırı Vektörü: Saldırganlar, WhatsApp üzerinden özel olarak hazırlanmış bozuk DNG (Digital Negative) resim dosyaları gönderiyor.
Sıfır Tıklama (Zero-Click): Kullanıcının dosyayı açmasına veya herhangi bir linke tıklamasına gerek kalmadan, sadece görüntünün işlenmesiyle zararlı kod çalışıyor.
LANDFALL Spyware: Bu açık kullanılarak cihazlara “LANDFALL” adı verilen gelişmiş bir casus yazılım yükleniyor. Orta Doğu merkezli olduğu düşünülen saldırganlar, bu yazılım aracılığıyla cihazın kontrolünü tamamen ele geçirebiliyor.
Durum: Samsung bu açığı Nisan 2025’te yamalamış olsa da, CISA’nın uyarısı, yamayı uygulamayan cihazların halen aktif olarak hedef alındığını gösteriyor.

2. Google Chrome V8 Tip Karışıklığı (CVE-2025-13223)

Listeye eklenen bir diğer kritik açık ise Google’ın Chrome tarayıcısındaki V8 JavaScript motorunu etkileyen CVE-2025-13223. Google’ın Tehdit Analiz Grubu (TAG) tarafından raporlanan bu açık, ticari casus yazılım satıcıları tarafından aktif olarak kullanılıyor.

Teknik Detay: V8 motorundaki “Type Confusion” (Tip Karışıklığı) hatası, saldırganların bellek yığınını (heap) bozmasına ve uzaktan kod yürütmesine olanak tanıyor.
Yöntem: Saldırganlar, özel olarak hazırlanmış bir HTML sayfası aracılığıyla bu açığı tetikleyebiliyor.
Hedef: Android cihazlardaki Chrome tarayıcısı ve bu motoru kullanan diğer uygulamalar risk altında.

Hedefte Kimler Var?

CISA’nın raporuna göre, bu kampanyalar rastgele kullanıcılardan ziyade “yüksek değerli” hedeflere odaklanıyor. Gazeteciler, aktivistler, hükümet yetkilileri ve şirket yöneticileri, Signal ve WhatsApp gibi güvenli olduğu düşünülen platformlar üzerinden hedef alınıyor. Saldırganların amacı, uçtan uca şifrelemeyi aşmak yerine, doğrudan cihazın işletim sistemi seviyesinde kontrolü ele geçirerek şifreleme öncesi veya sonrası verilere (ekran görüntüleri, klavye girdileri, ses kayıtları) erişmek.

Ne Yapmalısınız?

Uzmanlar, kullanıcıların ve kurumların alması gereken önlemleri şu şekilde sıralıyor:

Acil Güncelleme: Samsung cihaz kullanıcıları, Nisan 2025 ve sonrası güvenlik yamalarının yüklü olduğundan emin olmalıdır. Google Chrome ve WebView bileşenleri en son sürüme (142.0.7444.175 ve üzeri) güncellenmelidir.
Otomatik İndirmeleri Kapatın: WhatsApp ve Signal gibi uygulamalarda, medya dosyalarının (fotoğraf, video) otomatik olarak galeriye indirilmesi özelliğini devre dışı bırakın. Bu, zararlı dosyaların arka planda işlenmesini engelleyebilir.
Federal Kurumlar İçin Süre Doluyor: CISA, federal kurumların (FCEB) Samsung açığını (CVE-2025-21042) 1 Aralık 2025’e, Chrome açığını (CVE-2025-13223) ise 10 Aralık 2025’e kadar kapatmasını zorunlu kıldı.

Techneiro Analizi

CISA’nın bu son uyarısı, mobil güvenliğin sadece “şifreli mesajlaşma” kullanmakla sağlanamayacağını bir kez daha kanıtlıyor. Özellikle LANDFALL gibi sıfır tıklama (zero-click) ile bulaşan casus yazılımlar, kullanıcının hiçbir hatası olmasa bile cihazı ele geçirebiliyor. Bu durum, işletim sistemi ve donanım seviyesindeki (Samsung’un görüntü işleme çipi gibi) açıkların, uygulama güvenliğinden çok daha kritik olduğunu gösteriyor. Saldırganların DNG gibi spesifik ve karmaşık dosya formatlarını bir silah olarak kullanması, mobil cihazlardaki medya işleme kütüphanelerinin (library) siber savaşın yeni cephesi olduğunu işaret ediyor. Techneiro olarak önerimiz, özellikle hassas görevdeki kişilerin “Lockdown Mode” (Kilitleme Modu) gibi özellikleri aktif olarak kullanmaları ve cihazlarını sürekli güncel tutmalarıdır.

Teknoloji dünyasındaki en son yenilikleri ve özel incelemeleri kaçırmamak için Techneiro.com‘u takipte kalın.