Хакери използват поправени уязвимости в iOS и Android за атаки срещу телефони

Хакерска група с възможни връзки с руското външно разузнаване е използвала вече поправени уязвимости в iOS и Android, за да атакува посетители на подправени и компрометирани сайтове. Според изследователи от компанията за киберсигурност Sekoia сред потенциалните мишени са дипломати и високопоставени гости, а част от засегнатите сайтове са свързани с войната в Украйна.

Атаките започвали при отваряне на уебстраница, съдържаща внедрен зловреден JavaScript код. Той събирал информация за браузъра и устройството, след което нападателите избирали подходяща верига за експлоатиране на уязвимости. След зареждането на страницата не било необходимо допълнително действие от потребителя. Използваните компоненти се опитвали да откраднат бисквитки от браузъра, а в някои случаи — Wi-Fi пароли и пълни данни от мобилното устройство.

Един от подправените сайтове имитирал america250.org — страницата на организация, посветена на 250-годишнината от американската независимост. Нападателите регистрирали сходен домейн, който препредавал съдържанието на оригинала, но добавял зловреден код. Според Sekoia темата на събитието може да е била използвана като повод за целеви фишинг съобщения с покани.

Друг домейн имитирал сайта на лондонския хотел Raffles London at The OWO, разположен близо до британското Министерство на отбраната и „Даунинг стрийт“ 10. Изследователите предполагат, че целта може да е била достигане до дипломатически делегации и други високопоставени посетители.

Кампанията използвала и компрометирани легитимни сайтове, включително на голяма украинска газодобивна компания. Засегната била и украинска услуга за уеб анализ, обслужваща хиляди сайтове. Това създавало възможност зловредният код да достига до посетители чрез външен компонент, използван от множество страници.

Sekoia идентифицира три вериги за експлоатиране на уязвимости. Една от тях е DarkSword — комплект за атаки срещу iOS, който според изследователи на Google е използван и от клиенти на турския доставчик на технологии за наблюдение PARS Defense, както и от други групи.

Изследователите оценяват с умерена до висока увереност, че зад кампанията стои руското външно разузнаване. Изводът се основава на профила на мишените и сходства с предишна атака, приписана на APT29.

Всички използвани уязвимости вече са имали налични поправки. Следователно атаките са засягали устройства с остарели версии на iOS или Android, в които съответните актуализации не са били инсталирани.