Хакери використали виправлені вразливості iOS та Android для атак на смартфони

Дослідники виявили кампанію, у якій зловмисники використовували раніше виправлені вразливості в iOS та Android, щоб атакувати відвідувачів сайтів і намагатися викрасти дані з їхніх смартфонів. Як повідомляє Ars Technica, фахівці Sekoia з помірною або високою впевненістю пов’язують угруповання з російською Службою зовнішньої розвідки.

Російська Федерація — держава-агресор. За оцінкою Sekoia, на можливий зв’язок із Кремлем вказують профілі цілей та схожість із попередньою атакою, яку пов’язували з APT29. Серед ресурсів, через які поширювали атаку, були сайти, пов’язані з війною Росії проти України.

Три способи доставки коду

Кампанія починалася після відвідування сайту користувачем iPhone або Android-пристрою. У трафік впроваджували JavaScript-код, який збирав відомості про браузер і пристрій, а далі підбирав шкідливе навантаження відповідно до платформи. Експлойти могли намагатися викрадати cookie браузера, а в окремих випадках — паролі Wi‑Fi та повні дані мобільного пристрою.

Дослідники зафіксували три вектори зараження: безпосереднє впровадження JavaScript у трафік легітимних сайтів, використання проксі-доменів, що імітували справжні ресурси, а також компрометацію українського сервісу вебаналітики, яким користуються тисячі сайтів. В усіх випадках впроваджений JavaScript був однаковим.

Імітація сайтів і zero-click експлойти

Одним з імітованих ресурсів став сайт america250.org, що належить непартійній групі законодавців і представників бізнесу, пов’язаній зі святкуванням 250-річчя американської незалежності. Зловмисники зареєстрували домен america250[.]holiday, який працював як зворотний проксі для справжнього сайту та додавав до його вмісту шкідливий JavaScript.

Також домен theowo[.]club проксіював сайт лондонського готелю Raffles London at The OWO, розташованого неподалік від Міністерства оборони Великої Британії та резиденції британського прем’єр-міністра на Даунінг-стріт, 10. Sekoia припустила, що імітацію могли використати для націлювання на дипломатичні делегації та високопоставлених гостей через фішингові кампанії.

Після профілювання пристрою атакувальники застосовували один із трьох ланцюгів zero-click експлойтів, які не потребують дій від жертви. Один із них — DarkSword, набір експлойтів для iOS, який, за даними дослідників Google, раніше використовували клієнти турецького постачальника комерційних засобів стеження PARS Defense та щонайменше дві інші групи. Усі використані в кампанії вразливості належали до n-day — вони вже мали виправлення, тож атаки були ефективними лише на застарілих версіях iOS або Android.