Компания по кибербезопасности Sekoia 4 ноября рассказала об атаке на владельцев iPhone и Android-смартфонов. Исследователи обнаружили её в середине октября, а один из каналов распространения действовал с 27 августа по 3 сентября. Для запуска атаки было достаточно открыть заражённый сайт или его поддельную копию.
Внедрённый в страницу JavaScript определял устройство и версию браузера, после чего сервер злоумышленников отправлял подходящую цепочку эксплойтов. Все использованные уязвимости были известны и исправлены до начала кампании, поэтому полностью обновлённые смартфоны были защищены.
На Android атакующие использовали две уязвимости в Chrome версий с 139-й по 145-ю, кроме 143-й. Инструмент AndroSnitch мог получить cookie-файлы, данные для входа, историю браузера и сохранённые пароли Wi-Fi. На iPhone набор похищаемых данных зависел от версии iOS: среди целей были cookie-файлы Safari, базы WhatsApp и Telegram, данные связки ключей, фотографии и сведения о местоположении.
Читайте также
Вредоносный код не закреплялся в системе. Перезагрузка прекращала его работу, однако повторное посещение заражённого сайта могло снова запустить атаку.
Злоумышленники внедряли код на настоящие сайты, создавали похожие домены с содержимым оригинальных страниц и взломали украинский сервис веб-аналитики Plerdy. Его изменённый SEO-трекер загружался на тысячах сайтов, преимущественно украинских. Sekoia сообщает о сотнях ресурсов, посетители которых могли столкнуться с набором эксплойтов.
Среди скомпрометированных ресурсов были сайты украинской газодобывающей компании, американской ассоциации химической промышленности и болгарский сайт военной тематики. Поддельные домены имитировали официальный сайт празднования 250-летия независимости США и сайт лондонского отеля Raffles at The OWO.
Sekoia с умеренно высокой уверенностью связывает операцию с группировкой APT29, также известной как Midnight Blizzard. Исследователи указывают на сходство с прежними атаками через заражённые сайты, пересечения инфраструктуры и связь одного ресурса с кампанией 2025 года.
Google и Apple исправили все использованные уязвимости. Владельцам смартфонов рекомендуется установить последние доступные обновления Chrome, Android и iOS. Перезагрузка могла остановить уже запущенный вредоносный код, но не защищала от новой атаки через сайт.