قراصنة مرتبطون بالكرملين استغلوا ثغرات مُرقّعة في iOS وAndroid لاستهداف زوار مواقع

قال باحثون الأربعاء إن مهاجمين قد يكونون مرتبطين بجهاز الاستخبارات الخارجية الروسي استغلوا ثغرات في iOS وAndroid سبق ترقيعها في محاولة لاختراق زوار مواقع متعددة، بما في ذلك موقع مرتبط بالذكرى 250 لاستقلال الولايات المتحدة. واستخدمت الهجمات JavaScript المحقون لتحديد خصائص الأجهزة ثم سلّمت سلاسل استغلال من دون نقر تهدف إلى سرقة ملفات تعريف الارتباط الخاصة بالمتصفح، وفي بعض الحالات كلمات مرور Wi-Fi وبيانات كاملة للجهاز المحمول.

مواقع منتحلة ومخترقة

كان أحد المواقع المنتحلة america250.org، وهو تابع لمجموعة غير حزبية من المشرّعين ومسؤولي الشركات وعضو سابق واحد على الأقل في إدارة ترامب. سجّل المهاجمون america250.holiday واستخدموه كوكيل عكسي إلى america250.org، وقدّموا محتوى حقيقياً مع JavaScript خبيث مضاف. وقال باحثون في Sekoia إن مجموعة الاختراق ربما اختارت الموقع عمداً بسبب ارتباطه باحتفال وطني بارز، وربما استخدمت الحدث ذريعة لحملات تصيد موجّه ذات طابع دعوات.

وكان الموقع الثاني، theowo.club، يعمل وكيلاً عكسياً لـ Raffles of London OWO، وهو فندق فاخر قريب جغرافياً من مؤسسات الحكومة البريطانية بما في ذلك وزارة الدفاع و10 داونينغ ستريت. وتشير تقارير مفتوحة المصدر إلى أن الرئيس الأوكراني فولوديمير زيلينسكي أقام هناك خلال زيارة في 14 أكتوبر. وقال الباحثون إن هجوم المواقع المسمومة ربما سعى إلى استهداف الوفود الدبلوماسية والضيوف البارزين عبر حملات تصيد موجّه.

واستخدم المهاجمون أيضاً مواقع مخترقة، بما في ذلك شركة أوكرانية كبرى لإنتاج الغاز وخدمة تحليلات ويب أوكرانية تخدم آلاف المواقع.

سلاسل الاستغلال ونسب الهجوم

يعتمد نسب Sekoia الهجوم إلى الكرملين على ملفات تعريف الأهداف وأوجه التشابه مع هجوم سابق نُسب إلى APT29، أحد الأسماء المستخدمة للمجموعة الروسية المشتبه بها. واستخدم القراصنة ثلاثة مسارات للإصابة: حقن JavaScript مباشرة في حركة المرور من مواقع شرعية، ونطاقات وكيلة مثل america250.holiday، واختراق سلسلة التوريد لخدمة تحليلات الويب الأوكرانية. وفي كل حالة، كان JavaScript المحقون هو نفسه.

خلال المرحلة الأولى، حدد JavaScript خصائص متصفح الزائر وجهازه. ثم استخدم المهاجمون تلك المعلومات لتسليم واحدة من ثلاث سلاسل استغلال من دون نقر، تعمل من دون أن تتطلب تفاعلاً من الهدف. كانت إحدى السلاسل DarkSword، وهي مجموعة أدوات استغلال لـ iOS قال باحثون في Google إن عملاء PARS Defense، وهي مورّد مراقبة تجاري في تركيا، وفاعلي تهديد آخرين على الأقل قد استخدموها. وقالت Sekoia إن الحملة الأحدث استخدمت سلسلتي استغلال أخريين لم تُسمّيا.

كانت جميع الثغرات المستغلة في الحملة قد رُقّعت بالفعل. ولم تعمل الهجمات إلا على إصدارات قديمة من iOS أو Android.

المصادر: Ars Technica