Hackeri legați de Rusia vizează iOS și Android cu lanțuri de exploatare

Cum au pătruns în site-urile țintă?

Campania a compromis sau a clonat site-uri de profil înalt din SUA, Ucraina, Republica Cehă și Bulgaria. Hackerii au injectat JavaScript malițios pe site-ul unui producător de gaze ucrainean, al unei asociații comerciale majore și al unui partid politic de dreapta extremă.

Au modificat, de asemenea, fișiere legitime pe site-ul unei instituții militare bulgare. Codul injectat identifica vizitatorii, colectând date despre browser și dispozitiv în format JSON înainte de a livra exploatarea.

De ce au țintit delegații diplomatice?

Grupul APT a înregistrat domenii care imită site-uri cunoscute, acționând ca reverse proxy pentru a injecta cod malițios. Printre ținte au fost america250. org și site-ul hotelului Raffles London. Această impersonare viza delegații diplomatice și oaspeți de profil înalt. Rapoarte recente din surse deschise menționează că președintele ucrainean Volodymyr Zelensky a stat la Raffles London în timpul unei vizite pe 14 octombrie.

Hackerii au vizat serviciul ucrainean de analitică web Plerdy printr-un atac pe lanțul de aprovizionare.

Cum a fost atacat Plerdy?

Au adăugat cod malițios în fișierul de tracking. Acest lucru a expus sute de site-uri la kit-ul de exploatare timp de o săptămână. Printre site-urile afectate se numără cele ale armatei, forțelor speciale și producătorilor de echipament militar.

Sekoia a identificat trei lanțuri de exploatare: două pentru iOS și unul pentru Android. Toate vizează vulnerabilități deja corectate.

Primul lanț iOS reimplementează codul DarkSword pentru acces de citire/scriere la alegere. Exploatează CVE-2024-27834 pentru a ocoli protecția PAC de la Apple și a fură cookie-uri în afara Safari. Această deficiență a fost corectată în mai 2024.

Ce vulnerabilități au fost exploatate?

CISA a adăugat-o în catalogul KEV, dând agențiilor federale două săptămâni pentru a o corecta.

Lanțul Android vizează CVE-2026-3910 în Chrome și CVE-2025-27038 în Qualcomm.

Ce fură AndroSnitch?

Payload-ul final, AndroSnitch, vizează datele stocate în Chrome. Fură cookie-uri, informații de cont, parole, istoricul de navigare și parolele Wi-Fi. Acest lucru imită AndroSnatch, un furător de cookie-uri observat în atacurile anterioare Midnight Blizzard.

pentru securitatea mobilă? Sekoia subliniază că lanțurile de exploatare n-day împachetate reduc bariera tehnică pentru exploatarea mobilă. Se așteaptă ca proliferarea și reutilizarea exploatarelor de la furnizorii de supraveghere comercială printre grupurile susținute de stat să crească.