האקרים הקשורים לקרמלין השתמשו בפרצות מתוקנות של iOS ו-Android כדי לטרגט מבקרי אתרים

חוקרי אבטחה אמרו ביום רביעי שתוקפים שעשויים להיות קשורים לשירות המודיעין החוץ של רוסיה ניצלו פרצות מתוקנות של iOS ו-Android בניסיון לפרוץ למבקרים באתרים רבים, ובהם אתר הקשור ליום השנה ה-250 לעצמאות ארצות הברית. ההתקפות השתמשו ב-JavaScript שהוזרק לתעבורה כדי לאפיין את המכשיר, ואחר כך שלחו שרשראות ניצול ללא קליק שנועדו לגנוב עוגיות דפדפן, ובמקרים מסוימים גם סיסמאות Wi-Fi ונתונים מלאים של המכשיר הנייד.

אתרים מתחזים ואתרים שנפרצו

אחד האתרים המתחזים היה america250.org, השייך לקבוצה לא מפלגתית של מחוקקים, מנהלים בכירים ולפחות חבר אחד לשעבר בממשל טראמפ. התוקפים רשמו את america250.holiday והשתמשו בו כפרוקסי הפוך ל-america250.org, והגישו תוכן אמיתי עם JavaScript זדוני שהוסף לו. חוקרי Sekoia אמרו שייתכן שהקבוצה בחרה באתר בכוונה בשל הקשר שלו לחגיגה לאומית בולטת, ואפשר שניצלה את האירוע כעילה לקמפיינים של דיוג ממוקד בנושא הזמנות.

האתר השני, theowo.club, שימש כפרוקסי לאתר Raffles of London OWO, מלון יוקרה הסמוך פיזית למוסדות ממשלתיים בבריטניה, ובהם משרד ההגנה ו-10 דאונינג סטריט. לפי דיווחים ממקורות פתוחים, נשיא אוקראינה וולודימיר זלנסקי שהה במקום במהלך ביקור ב-14 באוקטובר. החוקרים אמרו שייתכן שהאתר המזויף נועד לפגוע במשלחות דיפלומטיות ובאורחים בולטים באמצעות קמפיינים של דיוג ממוקד.

התוקפים השתמשו גם באתרים שנפרצו, ובהם חברה אוקראינית מובילה להפקת גז ושירות אנליטיקה אוקראיני שמשרת אלפי אתרים.

שרשראות ניצול וייחוס

הייחוס של Sekoia לקרמלין מבוסס על פרופילי המטרות ועל דמיון להתקפה קודמת שיוחסה ל-APT29, אחד השמות שבהם מכונה הקבוצה הרוסית החשודה. ההאקרים השתמשו בשלושה וקטורי הדבקה: הזרקת JavaScript ישירה לתעבורה מאתרים לגיטימיים, דומיינים של פרוקסי כמו america250.holiday, ופריצה לשרשרת האספקה של שירות האנליטיקה האוקראיני. בכל אחד מהמקרים ה-JavaScript שהוזרק היה זהה.

בשלב הראשון ה-JavaScript אפיין את הדפדפן והמכשיר של המבקר. אחר כך השתמשו התוקפים במידע הזה כדי לשלוח אחת משלוש שרשראות ניצול ללא קליק, שפועלות בלי צורך באינטראקציה מצד המטרה. אחת השרשראות הייתה DarkSword, ערכת ניצול ל-iOS שלפי חוקרי Google השתמשו בה לקוחות של PARS Defense, ספקית מעקב מסחרי בטורקיה, ולפחות שני שחקני איום נוספים. Sekoia אמרה שהקמפיין האחרון השתמש בשתי שרשראות ניצול נוספות שלא נקבו בשמן.

כל הפרצות שנוצלו בקמפיין כבר תוקנו. ההתקפות עבדו רק על גרסאות מיושנות של iOS או Android.

מקורות: Ars Technica