Կրեմլի հետ կապված հաքերները շտկված iOS և Android խոցելիություններով թիրախավորել են կայքերի այցելուներին

Հետազոտողները չորեքշաբթի ասացին, որ հնարավոր է Ռուսաստանի արտաքին հետախուզական ծառայության հետ կապված հարձակվողները շահագործել են նախկինում շտկված iOS և Android խոցելիությունները՝ մի քանի կայքերի այցելուներին հաքերային հարձակման ենթարկելու փորձով, այդ թվում ամերիկյան անկախության 250 ամյակի հետ կապված կայքը։ Հարձակումներում օգտագործվել է ներարկված JavaScript՝ սարքերը պրոֆիլավորելու համար, ապա հասցվել են առանց կտտոցի շահագործման շղթաներ, որոնք նպատակ ունեին գողանալ դիտարկիչի քուքիները և, որոշ դեպքերում, Wi-Fi գաղտնաբառերը ու բջջային սարքի ամբողջական տվյալները։

Կեղծարար և խախտված կայքեր

Մեկ անձնավորված կայքը america250.org էր, որը պատկանում է օրենսդիրների, բիզնես ղեկավարների և նախկին Թրամփի վարչակազմի առնվազն մեկ անդամի ոչ կուսակցական խմբին։ Հարձակվողները գրանցել են america250.holiday և օգտագործել այն որպես հակադարձ պրոքսի america250.org համար, իրական բովանդակություն մատուցելով ավելացված վնասակար JavaScript հետ։ Sekoia հետազոտողները ասացին, որ ներթափանցման հավաքածուն կարող է միտումնավոր ընտրել կայքը բարձր պրոֆիլ ունեցող ազգային տոնակատարության հետ կապի պատճառով, հնարավոր է օգտագործելով միջոցառումը որպես հրավերի թեմայով նիզակաձև ֆիշինգային արշավների պատրվակ։

Երկրորդ կայքը՝ theowo.club, պրոքսի էր Raffles of London OWO հյուրանոցի համար, որը շքեղ հյուրանոց է և ֆիզիկապես մոտ է Մեծ Բրիտանիայի կառավարական հաստատություններին, այդ թվում Պաշտպանության նախարարությանը և 10 Downing Street հասցեին։ Բաց աղբյուրների հաղորդումները ցույց են տալիս, որ ուկրաինացի նախագահ Վլադիմիր Զելենսկին այնտեղ է մնացել հոկտեմբերի 14-ի այցի ընթացքում։ Հետազոտողները ասացին, որ ջրափոսային հարձակումը կարող է փորձել թիրախավորել դիվանագիտական պատվիրակությունները և բարձր պրոֆիլ ունեցող հյուրերին նպատակային նիզակաձև ֆիշինգային արշավների միջոցով։

Հարձակվողները նաև օգտագործել են խախտված կայքեր, այդ թվում ուկրաինական գազի արտադրության առաջատար ընկերությունը և ուկրաինական վեբ վերլուծության ծառայությունը, որը սպասարկում է հազարավոր կայքեր։

Շահագործման շղթաներ և վերագրում

Sekoia-ի վերագրումը Կրեմլին հիմնված է թիրախային պրոֆիլների և նախկինում APT29-ին վերագրված հարձակման նմանությունների վրա, որը կասկածյալ ռուսական խմբի համար օգտագործվող անուններից մեկն է։ Հաքերները օգտագործել են վարակման երեք վեկտոր՝ ուղղակի JavaScript ներարկում օրինական կայքերի տրաֆիկում, պրոքսի դոմեններ, ինչպես america250.holiday, և ուկրաինական վեբ վերլուծության ծառայության մատակարարման շղթայի խախտում։ Յուրաքանչյուր դեպքում ներարկված JavaScript-ը նույնն էր։

Առաջին փուլում JavaScript-ը պրոֆիլավորել է այցելուի դիտարկիչը և սարքը։ Այնուհետև հարձակվողները օգտագործել են այդ տեղեկությունը երեք առանց կտտոցի շահագործման շղթաներից մեկը հասցնելու համար, որոնք աշխատում են առանց թիրախի միջամտության պահանջի։ Մեկ շղթան DarkSword էր, iOS շահագործման հավաքածու, որը Google հետազոտողների խոսքով օգտագործել են Թուրքիայում գործող PARS Defense առևտրային հսկողության վաճառողի հաճախորդները և առնվազն երկու այլ սպառնալիքային դերակատարներ։ Sekoia-ն ասաց, որ ավելի վերջին արշավը օգտագործել է երկու այլ շահագործման շղթաներ, որոնք չեն անվանվել։

Արշավում շահագործված բոլոր խոցելիությունները արդեն շտկված էին։ Հարձակումները գործել են միայն iOS կամ Android հնացած տարբերակների վրա։

Աղբյուրներ: Ars Technica